Auteur Sujet: Faille 0-day sur la fonction AMT d'Intel  (Lu 12082 fois)

0 Membres et 1 Invité sur ce sujet

vivien

  • Administrateur
  • *
  • Messages: 46 994
    • Twitter LaFibre.info
Faille 0-day sur la fonction AMT d'Intel
« Réponse #24 le: 07 mai 2017 à 10:05:57 »
Sans configuration IP de l'Intel Active Management Technology, pas de risque, non ?



Voici d'autres copie d'écran d'un Intel® Core™2 with vPro™ réalisées par Sreelekshmy Syamalakumari, d'Intel :







BadMax

  • Client Free adsl
  • Expert
  • *
  • Messages: 3 481
  • Malissard (26)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #25 le: 07 mai 2017 à 13:17:43 »
Sans configuration IP de l'Intel Active Management Technology, pas de risque, non ?

Pas certain car je crois qu'il utilise l'IP de l'OS dans ce cas. Pas d'AMT sous la main donc pas de quoi tester pour vérifier.

vivien

  • Administrateur
  • *
  • Messages: 46 994
    • Twitter LaFibre.info
Faille 0-day sur la fonction AMT d'Intel
« Réponse #26 le: 07 mai 2017 à 14:21:36 »
Comment l'AMT peut récupérer l'IP de l'OS, si celui-ci n'a pas de logiciel pour lui transmettre ?

alain_p

  • Abonné Free fibre
  • *
  • Messages: 16 128
  • Delta S 10G-EPON sur Les Ulis (91)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #27 le: 07 mai 2017 à 14:51:08 »
Oui, effectivement, c'est ce que je voulais vérifier. Sans configuration, l'AMT peut-il être vulnérable ?

Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 377
  • Lyon (69) / St-Bernard (01)
    • Twitter
Faille 0-day sur la fonction AMT d'Intel
« Réponse #28 le: 07 mai 2017 à 15:01:55 »
Tiens, j'ai l'AMT sur mon laptop avec un i5 1stGen & Vpro.. Génial :(

alain_p

  • Abonné Free fibre
  • *
  • Messages: 16 128
  • Delta S 10G-EPON sur Les Ulis (91)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #29 le: 07 mai 2017 à 15:34:22 »
En fait, d'après ce que je lis, il n'y a que les systèmes qui ont été activés et provisionnés (ie IP configurée), qui sont vulnérables.

Citer
An unprivileged network attacker could gain system privileges to provisioned Intel manageability SKUs: Intel Active Management Technology (AMT) and Intel Standard Manageability (ISM). An unprivileged local attacker could provision manageability features gaining unprivileged network or local system privileges on Intel manageability SKUs: Intel Active Management Technology (AMT), Intel Standard Manageability (ISM), and Intel Small Business Technology (SBT).

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5689

D'autre part, il semble que ce soit un problème dans l'authentification de l'utilisateur qui soit la faille. En gros n'importe qui peut rentrer dans l'interface en administrateur, mais il faut que celle-ci soit joignable.

Citer
Drawing on past experience when we reported an authentication-related vulnerability in which the length of credential comparison is controlled by the attacker (memcmp(attacker_passwd, correct_passwd, attacker_pwd_len)), we tested out a case in which only a portion of the correct response hash is sent to the AMT web server. To our surprise, authentication succeeded!

https://www.tenable.com/blog/rediscovering-the-intel-amt-vulnerability

Donc il semble bien qu'il n'y ait aucun problème sur les systèmes où l'AMT n'est pas configuré, ce qui est mon cas.

jack

  • Professionnel des télécoms
  • *
  • Messages: 1 674
  • La Madeleine (59)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #30 le: 07 mai 2017 à 15:37:29 »
Donc, c'est bien exactement pareil que l'IPMI, à la nuance prêt que ce dernier peut être sur un réseau physique séparé (nuance dont les implications sont pour autant relativement limités)
Rien de nouveau sous le soleil, et rien d'outrageusement scandaleux

alain_p

  • Abonné Free fibre
  • *
  • Messages: 16 128
  • Delta S 10G-EPON sur Les Ulis (91)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #31 le: 07 mai 2017 à 15:58:23 »
Quelques précisions d'embedi, la société qui a révélé la faille, à la demande d'Intel :

Citer
-   Systems affected by this vulnerability are from 2010-2011 (not 2008, as was mentioned in some of the comments), because Intel manageability firmware version 6.0 and above was made not earlier than 2010;
-   Under possible remote siege are Intel systems (like PC, laptops and servers) with enabled the Intel AMT feature;
-   With 100 percent certainty it is not an RCE but rather a logical vulnerability;
-    There are several vectors for the vulnerability exploitation and attackers’ modus operandi;
-   There is also a chance of attacks performed on Intel systems without Intel AMT support.

Je n'ai pas trop compris la derière phrase, mais sinon, je note le 'enabled'.

https://www.embedi.com/news/mythbusters-cve-2017-5689


Marco POLO

  • Abonné Free fibre
  • *
  • Messages: 2 132
  • FTTH 1 Gb/s sur Paris (75)
Faille 0-day sur la fonction AMT d'Intel
« Réponse #32 le: 07 mai 2017 à 19:58:36 »
Rien à voir, AMT est une couche indépendante de l'OS, même si ce dernier peut ajouter un support soft complèmentaire.

Côté grand-public, je ne pense pas qu'il y est grand chose à craindre car il faut un Core iX avec un chipset "vPro" : seuls les PC portables destinés aux entreprises en sont équipés...
...Merci pour ces précisions: tu me rassures...   

corrector

  • Invité
Faille 0-day sur la fonction AMT d'Intel
« Réponse #33 le: 09 mai 2017 à 02:41:06 »
En fait, d'après ce que je lis, il n'y a que les systèmes qui ont été activés et provisionnés (ie IP configurée), qui sont vulnérables.

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5689

D'autre part, il semble que ce soit un problème dans l'authentification de l'utilisateur qui soit la faille. En gros n'importe qui peut rentrer dans l'interface en administrateur, mais il faut que celle-ci soit joignable.
Autrement dit : on peut devenir admin sans aucun privilège au départ, juste avec la connectivité - ce qui n'est jamais considéré comme un privilège.

Ce qui veut dire qu'il ne s'agit pas d'une "élévation de privilège", contrairement au discours de Intel.

corrector

  • Invité
Faille 0-day sur la fonction AMT d'Intel
« Réponse #34 le: 09 mai 2017 à 03:38:03 »
Comment l'AMT peut récupérer l'IP de l'OS, si celui-ci n'a pas de logiciel pour lui transmettre ?
C'est décrit dans la documentation précitée :
Citer
Intel AMT and the host have a shared dynamic IP address (IPv4 only). The IP address is issued by a DHCP server on request by the host. Intel AMT either detects the DHCP address requests and responses, or starting with AMT Release 7.0, requests IP address updates via the Local Manageability Server (LMS) (from Release 9.0) or the User Notification Service (UNS) (releases prior to 9.0).
Intel AMT and the host have different static IP addresses (wired interface only). This is valid but requires two IP addresses per platform. Set the two IP addresses directly.
donc le machin peut s'approprier une adresse IPv4 de façon entièrement automatique, et sans que rien n'apparaisse dans la table DHCP!

corrector

  • Invité
Faille 0-day sur la fonction AMT d'Intel
« Réponse #35 le: 09 mai 2017 à 04:21:03 »
Sauf que si tu as déployé un firewall type PfSense ou Checkpoint sur un serveur x86 et bien tu es exposé aussi au problème. On met un pare-feu pour protéger le pare-feu ?
...et ainsi de suite.