研究显示通过 USB 接口触发英特尔 ME 漏洞可成功入侵目标系统
*** 安全公司 Embedi 研究人员 Maksim Malyutin 于今年 3 月发现 Intel Management Engine（IME） 存在一处高危漏洞（CVE-2017-5689），允许黑客用作后门攻击时执行恶意活动。随后，莫斯科安全机构 Positive Technologies（以下简称 PT） 于今年 9 月找到一种利用 IME 漏洞展开黑客攻击的最新技术，并计划将在 12 月举行的欧洲 Black Hat 安全会议上展示。
自 2008 年起，英特尔处理器平台都内置了一个低功耗的子系统 ME，其包含一个或多个处理器核心并与平台控制器中枢芯片协同使用，是 Intel 的一个固件接口，用于处理器与外围设备的通讯传输。
然而，事情并未结束。PT 研究人员近期发表一份安全报告，旨在提供关于该漏洞利用技术的更多细节，即从目标设备的 USB 接口触发漏洞访问系统，从而允许任何主板上都可运行无符号代码。此外，知情人士透露，该漏洞技术可以通过以下两种方式加以利用：
1、非特权 *** 攻击者可以通过获取系统特权配置英特尔主动管理技术（AMT）和英特尔标准可管理性（I *** ）加以利用：
- CVSSv3 分值为 9.8 / AV：N / AC：L / PR：N / UI：N / S：U / C：H / I：H / A：H
2、非特权本地攻击者可以通过获取非特权 *** 或本地系统特权配置英特尔可管理性特性（I *** ）加以利用：
- CVSSv3 分值为 8.4 / AV：L / AC：L / PR：N / UI：N / S：U / C：H / I：H / A：H
PT 研究人员表示，他们已经利用英特尔管理引擎的硬件进行了调试（JTAG），并通过英特尔 USB 接口（DCI）获得了对所有 PCH 设备（平台控制器中心）的访问权限。不过，这种技术仅影响 Skylake 及新平台的处理器。目前，研究人员表示暂时无法彻底移除 IME 组件，因为它被植入于计算机中最核心的中央处理器里。而现在唯一的预防手段，就是关闭 IME 固件。
原作者：Pierluigi Paganini，译者：青楚
本文由 HackerNews.cc 翻译整理，封面来源于 *** ；
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“研究显示通过 USB 接口触发英特尔 ME 漏洞可成功入侵目标系统” 的相关文章
微软 Windows 受到 Hafnium 恶意软件 “Tarrask” 的集团化攻击
对微软Exchange服务器造成严重破坏的臭名昭著的Hafnium黑客组织回来了。但这一次，微软清楚地知道这个国家支持的威胁行为者团体的活动意图，该组织正在利用”Tarrask”恶意软件来瞄准并不断削弱Windows操作系统的防御能力。 微软检测和响应小组（DART）在一篇博文中解释说，Hafni...
一款家用新冠检测电子试剂盒存在漏洞 可让用户伪造结果
一名安全研究人员发现了Cue Health公司家用COVID-19检测试剂盒的一个漏洞，可能会让用户伪造结果。Cue Health的COVID-19检测试剂盒是一种蓝牙操作的分子测试，可以在20分钟内检测出阳性标本。该系统使用鼻拭子测试冠状病毒，鼻拭子被插入一个一次性盒中，由电池供电的Cue阅读器进...
研究人员发现三个联想电脑的 UEFI 漏洞 影响规模可达数百万台
根据The Hacker News的报道，有三个高影响的统一可扩展固件接口（UEFI）安全漏洞被公布，即CVE-2021-3970、CVE-2021-3971和CVE-2021-3972，已被发现它们会影响联想的各种设备，如联想Flex、IdeaPads和Yoga笔记本电脑。 最初，CVE-202...
ESET：黑客借中东新闻网站对目标访客发起攻击
经历了持续一年多的追踪，网络安全研究人员终于摸清了“中东之眼”新闻网站入侵事件的来龙去脉。由 ESET 周二发布的报告可知，一群黑客入侵了总部位于伦敦的这家热门新闻网站。这家网站着眼于中东地区的新闻报道，而攻击者的最终目标却是网站访客。 伊朗驻阿布扎比大使馆网站的脚本注入 据悉，这轮黑客活动一直从...
Chrome 新增 Privacy Guide：帮用户理解和实施安全设置
适用于桌面 PC 和笔记本的 Chrome 稳定版将新增“Privacy Guide”功能，它将帮助该网络浏览器的用户理解和实施隐私、安全和在线安全设置。虽然 Chrome 浏览器一直有大部分的这些设置，但现在 Google 声称隐私和安全控制应该更容易理解。 图片链接：https://static...
因未能披露挖矿对业务的影响，英伟达被罚 550 万美元
美国证券交易委员会 (SEC) 5月6日发布声明，称对芯片制造商英伟达的指控，双方已达成一致，英伟达承认未能充分披露挖矿对其游戏业务的影响，同意支付550万美元的罚款。 此前，SEC认为，从 2017 年开始，已有越来越多的用户使用英伟达生产的游戏显卡（GPU） 来挖掘加密货币，但在2018财年的...
评论列表
发表评论
