Intel ME 11 gehackt

[Mornsgrans]

Bei Heise nachzulesen:

...
Mark Ermolov und Maxim Goryachy von der russischen Sicherheitsfirma Positive Technologies (PTE) wollen in 10 Wochen auf der Black Hat Europe in London beweisen, dass sie Intels ME hacken konnten: Sie haben in einem Subsystem der ME eine Sicherheitslücke entdeckt und dazu genutzt, eigenen und unsignierten Code ausführen zu lassen.
...

...
Bei Ihren Analysen profitieren Ermolov und Goryachy nach eigenen Angaben von Änderungen der ME 11 im Vergleich zu früheren ME-Versionen: Die jüngere ME nutzt das Betriebssystem Minix auf sparsamen 32-Bit-x86-"Quark"-Kernen, die im Chipsatz oder SoC eingebettet sind. Zuvor setzte Intel auf ARC-Mikrocontroller und das RTOS ThreadX. Laut den PTE-Experten sind Intel beim Umstieg Fehler unterlaufen und außerdem könnten sie nun Werkzeuge für die Analyse von x86-Code verwenden.
...

Da hat wohl Intel daneben gegriffen und die alte fehlerhafte Firmware durch neue mit anderen Fehlern ersetzt.
Mal sehen, was die Black Hat Konferenz neues zu diesem Thema bringt und wann Intel reagiert. Interessant wird dann auch die Reaktion Lenovos zu diesem Thema werden, besonders bei älteren Modellreihen.

 

[schmatzler]

Mein X201 hat ja schon bei der letzten Lücke kein Update mehr bekommen.

So langsam überlege ich wirklich, mir einen Flasher zu besorgen und mit Hilfe von Coreboot dieses Zeug rauszupatchen.

 

[Helios]

Betroffen sind nur Systeme, basierend auf Intel Skylake und neuere.

https://thinkpad-forum.de/threads/207128-Sicherheitsl%C3%BCcke-in-Intel-AMT-Radikale-Kurzanleitung-zum-Test-und-evtl-Abschalten?p=2109334&viewfull=1#post2109334

 

[morini22]

Na ,was ein Glück,dass ich nur alte TPs besitze ( Neueste ist ein X240 ) ;
Manchmal zahlt sich Geiz doch aus ...!

Gruss Uwe

 

[enrico65]

@morini22:

So ist es! Vor allem zahlt sich Geiz dann aus, wenn man auch noch feststellen kann, dass zwischen Core i-1. Generation und Core i-3. Generation kaum ein Leistungsunterschied besteht. Das freut doch dann besonders...

Gruß
enrico65

 

[martina]

Das hatten wir doch letzte Woche schon in einem anderen Thread?
Außerdem scheint es immernoch wie vor einigen Monaten eine konfigurierte/aktive ME/AMT Schnittstelle vorauszusetzen, was im privaten Umfeld praktisch nicht vorkommt.

 

[joshua666]

Na ,was ein Glück,dass ich nur alte TPs besitze ( Neueste ist ein X240 ) ;
Manchmal zahlt sich Geiz doch aus ...!

Wieso Glück? Diese Sicherheitslücke kann ja genutzt werden um die ME auszuschalten und somit das System sicherer zu machen. Und da das erst ab Skylake geht nutzt dir das mit deinem X240 nichts. Bei Sandy Bridge und Ivy Bridge soll das auch schon länger möglich sein. Wirklich beseitigen kannst du die ME aber nur bis zu den C2D-CPUs.

https://borncity.com/win/2017/08/30/hack-disable-intels-management-engine/
https://hackaday.com/2016/11/28/neutralizing-intels-management-engine/

 

[Bambulator]

Ich schaue immer mal wieder auf die Lenovo-Seite zum Thema.

Seit Wochen steht dort für z.B. das X240 'Status: not affected', das X260 'Status: affected'. Und für mein X250 bleibt unverändert der Status auf 'researching'

Lenovo researched aber ganz schön lange für das X250.

Hat diesbezüglich jemand Kenntnis von Änderungen? Vielleicht wurde die Lenovo-Seite fürs X250 nicht aktualisiert?

 

[felix1]

Das X250 verwendet Intel Management Engine Firmware 10.0 und ist daher nicht von dieser Sicherheitslücke betroffen.
Die neueste Firmware 10.0.56.3002 gibt es hier.

 

[b025]

Außerdem scheint es immernoch wie vor einigen Monaten eine konfigurierte/aktive ME/AMT Schnittstelle vorauszusetzen, was im privaten Umfeld praktisch nicht vorkommt.

Bei Skylake kann man es nicht einmal deaktivieren, zumindest auf meinem Lifebook mit vPro nicht...

 

[explit]

Ich habe mich mit dem Thema Coreboot auseinandergesetzt, auch mein TP-T430 auf das Coreboot umgeflasht. Momentan sieht es so aus, dass es bei de xx30er Serie Schluss ist. Ab Broadwell ist es sehr schwer nichtsignierten code auszufuehren. Purism hat allerdings eine Moeglichkeit gefunden Ihre Notebook gleich mit Coreboot und ohne ME herzustellen.

 

[Basteljunge]

... Purism hat allerdings eine Moeglichkeit gefunden Ihre Notebook gleich mit Coreboot und ohne ME herzustellen.

Ganz lässt sich ME bei neueren Geräten leider nicht entfernen bzw. deaktivieren, da Teile davon unter anderem zum booten benötigt werden. Es wird also versucht nur soviel zu entfernen wie nötig ist. Soviel ich weiß bedienen sich die Jungs und Mädels von Purism hier auch "nur" dem ME_Cleaner Tool, welches u.a. jetzt auch die Erkenntnisse (HAP Bit) der beiden Herren implementiert hat.