CVE-2017-5689
Intel Active Management Technology (AMT), Small Business Technology (SBT), and Standard Manageability Privilege Escalation Vulnerability
Beschreibung
CVE-2017-5689 ist eine kritische Privilegieneskalationsschwachstelle in Intel Active Management Technology (AMT), Intel Small Business Technology (SBT) und Intel Standard Manageability Firmware. Unter CWE-269 (Unsachgemäße Rechteverwaltung) klassifiziert, ermöglicht der Fehler einem nicht authentifizierten Remote-Angreifer, durch eine manipulierte Authentifizierungsantwort über die AMT-Web-Oberfläche die vollständige Kontrolle über betroffene Systeme zu erlangen. Mit einem CVSS-3.1-Score von 9.8 (CRITICAL) erfordert diese Schwachstelle keine Authentifizierung, keine Benutzerinteraktion und ist über das Netzwerk mit geringer Komplexität ausnutzbar. CISA hat CVE-2017-5689 am 28. Januar 2022 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Juli 2022. Der EPSS-Score von 0,94194 (99,92. Perzentile) zählt zu den höchsten überhaupt und spiegelt das extreme Risiko durch den hardwarebasierten Remote-Zugangs-Bypass wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| hpe | proliant ml10 gen9 server firmware | 5.0 |
| siemens | simatic itp1000 firmware | < 9.1.41.3024 |
| siemens | simatic ipc847d firmware | < 9.1.41.3024 |
| siemens | simatic ipc847c firmware | < 6.2.61.3535 |
| siemens | simatic ipc827d firmware | < 9.1.41.3024 |
| siemens | simatic ipc827c firmware | < 6.2.61.3535 |
| siemens | simatic ipc677d firmware | < 9.1.41.3024 |
| siemens | simatic ipc677c firmware | < 6.2.61.3535 |
| siemens | simatic ipc647d firmware | < 9.1.41.3024 |
| siemens | simatic ipc647c firmware | < 6.2.61.3535 |
| siemens | simatic ipc627d firmware | < 9.1.41.3024 |
| siemens | simatic ipc627c firmware | < 6.2.61.3535 |
| siemens | simatic ipc547g firmware | < 11.0.26.3000 |
| siemens | simatic ipc547e firmware | < 9.1.41.3024 |
| siemens | simatic ipc547d firmware | < 7.1.91.3272 |
| siemens | simatic ipc477e firmware | < 21.01.05 |
| siemens | simatic ipc477d firmware | - |
| siemens | simatic field pg m3 firmware | < 6.2.61.3535 |
| siemens | simatic field pg m4 firmware | < 18.01.06 |
| siemens | simatic field pg m5 firmware | < 22.01.03 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html(Patch, Third Party Advisory)
- http://www.securityfocus.com/bid/98269(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038385(Broken Link, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/pdf/ssa-874235.pdf(Third Party Advisory)
- https://downloadmirror.intel.com/26754/eng/INTEL-SA-00075%20Mitigation%20Guide-Rev%201.1.pdf(Broken Link)
- https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf03754en_us(Third Party Advisory)
- https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00075&languageid=en-fr(Patch, Vendor Advisory)
- https://security.netapp.com/advisory/ntap-20170509-0001/(Third Party Advisory)
- https://www.embedi.com/files/white-papers/Silent-Bob-is-Silent.pdf(Broken Link, Exploit, Technical Description, Third Party Advisory)
- https://www.embedi.com/news/mythbusters-cve-2017-5689(Broken Link, Third Party Advisory)
- https://www.tenable.com/blog/rediscovering-the-intel-amt-vulnerability(Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-5689(US Government Resource)
Schwachstellentyp
CWE-269: Unsachgemäße Rechteverwaltung
Unsachgemäße Rechteverwaltung tritt auf, wenn ein System Rechte für Benutzer, Prozesse oder andere Akteure nicht ordnungsgemäß zuweist, ändert, verfolgt oder validiert. Diese Schwachstellenklasse umfasst verschiedene Autorisierungsfehler, von unzureichenden Zugriffskontrollen auf Verwaltungsfunktionen bis hin zu fehlerhaften Rechteprüfungen, die unautorisierte Eskalation ermöglichen. Wenn die Rechteverwaltung fehlerhaft ist, können weniger privilegierte oder nicht authentifizierte Benutzer auf Funktionen zugreifen, die Administratoren vorbehalten sind, und das gesamte Sicherheitsmodell des betroffenen Systems umgehen.
Bei CVE-2017-5689 enthält die Intel AMT Web-Oberfläche einen kritischen Authentifizierungs-Bypass in ihrer HTTP-Digest-Authentifizierungsimplementierung. Die AMT-Firmware verarbeitet Authentifizierungsantworten vom Client, aber die Validierungslogik enthält einen Fehler, der es einem Angreifer ermöglicht, eine speziell gestaltete (oder sogar leere) Authentifizierungsantwort bereitzustellen, die das System fälschlicherweise als gültig akzeptiert. Da Intel AMT auf Hardware-/Firmware-Ebene unterhalb des Betriebssystems arbeitet, gewährt die erfolgreiche Ausnutzung volle Out-of-Band-Remote-Management-Fähigkeiten unabhängig vom Zustand des Betriebssystems, einschließlich der Möglichkeit, das System einzuschalten, neu zu starten, auf das BIOS zuzugreifen, Remote-Medien einzubinden und mit dem System auf Tastatur-/Video-/Maus-Ebene zu interagieren. Mehr über Unsachgemäße Rechteverwaltung (CWE-269) erfahren
Auswirkungsanalyse
CVE-2017-5689 hat einen CVSS-3.1-Basiswert von 9.8 (CRITICAL), der die maximalen Auswirkungen bei minimalen Angriffsvoraussetzungen widerspiegelt.
Vertraulichkeit (Hoch): Intel AMT bietet Out-of-Band-Management-Funktionen, die unabhängig vom Host-Betriebssystem arbeiten. Ein Angreifer mit unautorisiertem AMT-Zugriff kann die Bildschirmausgabe des Systems lesen, BIOS-Einstellungen abrufen, Remote-Speichermedien einbinden und alle Tastatur- und Mauseingaben abfangen. Dies ermöglicht den Zugriff auf alle am Bildschirm angezeigten Daten, während der Anmeldung eingegebene Anmeldedaten und die Möglichkeit, von externen Medien zu booten, um direkt auf das Dateisystem zuzugreifen und alle OS-Level-Zugriffskontrollen zu umgehen.
Integrität (Hoch): Voller AMT-Zugriff ermöglicht dem Angreifer, BIOS-Einstellungen zu ändern, von angreifergesteuerten Medien zu booten, Rootkits oder Bootloader zu installieren, die unterhalb des Betriebssystems persistieren, und das System per Tastatur und Maus fernzusteuern. Der Angreifer kann Firmware-Einstellungen ändern, Sicherheitsfunktionen wie Secure Boot deaktivieren und persistente Implantate installieren, die eine Neuinstallation des Betriebssystems überleben.
Verfügbarkeit (Hoch): Ein Angreifer kann das System remote ausschalten, Neustarts erzwingen, Boot-Konfigurationen ändern, um den normalen Start zu verhindern, oder den Betrieb über den Out-of-Band-Management-Kanal kontinuierlich stören. Da AMT unabhängig vom OS arbeitet, können diese Aktionen nicht durch hostbasierte Sicherheitswerkzeuge innerhalb des Betriebssystems verhindert oder erkannt werden.
Scope (Unverändert): Obwohl formal unverändert, erstreckt sich die praktische Auswirkung weit über die AMT-Schnittstelle selbst hinaus. Die Kontrolle über AMT bedeutet effektiv die Kontrolle über das gesamte physische System. Der EPSS-Score von 0,94194 (99,92. Perzentile) bestätigt, dass dies zu den am stärksten ausgenutzten CVEs überhaupt gehört.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2017-5689 wird nachweislich aktiv in der Praxis ausgenutzt. CISA hat die Schwachstelle am 28. Januar 2022 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einer Behebungsfrist für Bundesbehörden bis zum 28. Juli 2022. Die Schwachstelle zog aufgrund des beispiellosen Remote-Zugangslevels sofortige Aufmerksamkeit von Bedrohungsakteuren auf sich.
Ransomware-Bezug: Der CISA-KEV-Katalog ordnet CVE-2017-5689 keinen bekannten Ransomware-Kampagnen zu. Das gebotene Zugangsniveau (vollständige hardwarebasierte Fernsteuerung) macht es jedoch zu einem idealen Vektor für jede Art von Angriff, einschließlich Ransomware-Einsatz.
Öffentliche Exploits: Eine detaillierte technische Analyse wurde von Embedi in einem Whitepaper mit dem Titel "Silent Bob is Silent" veröffentlicht, das den Authentifizierungs-Bypass-Mechanismus dokumentiert. Tenable veröffentlichte einen Blogbeitrag mit zusätzlichen technischen Details. Mehrere Proof-of-Concept-Exploits sind öffentlich verfügbar, und Scanning-Tools zur Identifizierung anfälliger AMT-Instanzen wurden breit verteilt.
EPSS-Kontext: Der EPSS-Score von 0,94194 (99,92. Perzentile) ist einer der höchsten überhaupt beobachteten und zeigt nahezu sichere Ausnutzungsaktivität an. Dies spiegelt die Kombination aus trivialer Ausnutzung, massiver Auswirkung und der großen installierten Basis AMT-fähiger Intel-Systeme in Unternehmensumgebungen wider.
KEV-Frist: Die Behebungsfrist für Bundesbehörden war der 28. Juli 2022. Alle Organisationen mit Intel vPro oder AMT-fähiger Hardware sollten ihren Firmware-Status unabhängig von diesem Datum überprüfen.
Behebung
-
Intel-Firmware-Updates umgehend anwenden. Laden Sie die aktualisierte Firmware aus Intels Sicherheitshinweis INTEL-SA-00075 herunter und installieren Sie sie. Arbeiten Sie mit Ihrem Hardware-Hersteller (HP, Dell, Lenovo usw.) zusammen, um plattformspezifische Firmware-Updates zu erhalten.
-
Intels Erkennungs- und Mitigationstool ausführen. Intel hat ein Discovery-Tool veröffentlicht, um Systeme mit anfälliger AMT-Firmware zu identifizieren. Führen Sie dieses Tool auf allen Unternehmenssystemen aus, um festzustellen, welche Maschinen Firmware-Updates benötigen. Priorisieren Sie internetexponierte Systeme und solche in sensiblen Netzwerksegmenten.
-
AMT deaktivieren, wenn nicht in Verwendung. Wenn Ihre Organisation Intel AMT nicht aktiv für Remote-Management nutzt, deaktivieren Sie es in den BIOS-Einstellungen. Dies eliminiert die Angriffsfläche vollständig. Überprüfen Sie, dass AMT-Ports (16992/TCP für HTTP, 16993/TCP für HTTPS) nach der Deaktivierung nicht lauschen.
-
AMT-Ports an der Netzwerkperimeter blockieren. Stellen Sie sicher, dass Firewall-Regeln externen Zugriff auf AMT-Management-Ports (16992, 16993, 16994, 16995, 623, 664) blockieren. AMT sollte niemals aus dem Internet erreichbar sein. Beschränken Sie auch in internen Netzwerken den AMT-Zugriff auf dedizierte Management-VLANs.
-
AMT-Zugriffsprotokolle auf unautorisierte Aktivitäten überprüfen. Überprüfen Sie AMT-Audit-Logs auf Anzeichen unautorisierter Zugriffe, einschließlich unerwarteter Remote-Sitzungen, BIOS-Modifikationen oder Boot-von-externen-Medien-Ereignisse. Bei erkanntem unautorisiertem Zugriff nehmen Sie eine vollständige Systemkompromittierung an und erstellen Sie betroffene Maschinen von vertrauenswürdigen Medien neu.
-
Drittanbieter-Advisories prüfen. Mehrere Hersteller, darunter Siemens (für SIMATIC IPC-Systeme) und HPE, haben eigene Advisories mit produktspezifischen Firmware-Updates veröffentlicht. Stellen Sie sicher, dass alle betroffenen Plattformen in Ihrer Umgebung durch herstellerspezifische Patches abgedeckt sind.
Technische Details
CVE-2017-5689 ist eine Authentifizierungs-Bypass-Schwachstelle in der Web-Management-Oberfläche von Intel Active Management Technology (AMT), die Firmware-Versionen in Intel-Manageability-Produkten betrifft. AMT ist eine hardwarebasierte Remote-Management-Technologie, die in Intel vPro-Prozessoren eingebettet ist und unabhängig vom Host-Betriebssystem über die Intel Management Engine (ME) arbeitet, einen dedizierten Mikroprozessor innerhalb des Chipsatzes.
Die Schwachstelle liegt in der HTTP-Digest-Authentifizierungsimplementierung des AMT-Webservers. Bei der Verarbeitung von Authentifizierungsantworten vergleicht die AMT-Firmware den vom Client bereitgestellten Authentifizierungs-Digest mit dem erwarteten Wert, verwendet jedoch einen fehlerhaften Vergleich, der durch Bereitstellung eines leeren oder speziell gestalteten Antwortstrings umgangen werden kann. Die Authentifizierungsprüfung vergleicht effektiv einen leeren oder minimalen String mit dem berechneten Digest, und aufgrund des Implementierungsfehlers ist dieser Vergleich erfolgreich, wodurch voller administrativer Zugang zu AMT-Funktionen gewährt wird.
Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) spiegelt wider, dass die Ausnutzung trivial einfach ist: Ein Angreifer sendet eine manipulierte HTTP-Anfrage an die AMT-Web-Oberfläche auf Port 16992 oder 16993 mit einem manipulierten Authorization-Header und erhält vollen administrativen Zugang. Es werden keine gültigen Anmeldedaten benötigt, und der Angriff funktioniert unabhängig vom Zustand des Host-Betriebssystems.
Der Umfang dieser Schwachstelle ist außergewöhnlich, da AMT Funktionen bietet, die normalen Software-Zugriff übersteigen: Remote-Stromsteuerung, BIOS-Zugang, Tastatur-/Video-/Maus-Umleitung, Serial-over-LAN, IDE-Umleitung für Remote-Boot und hardwarebasierte Ereignisüberwachung. Diese Fähigkeiten arbeiten unterhalb der OS-Schicht, wodurch sie für Endpoint-Security-Lösungen unsichtbar sind und selbst bei ausgeschaltetem System funktionieren.
Häufig gestellte Fragen
Was ist CVE-2017-5689?
CVE-2017-5689 ist eine kritische Authentifizierungs-Bypass-Schwachstelle in Intel Active Management Technology (AMT), Intel Small Business Technology (SBT) und Intel Standard Manageability. Sie ermöglicht einem nicht authentifizierten Remote-Angreifer, vollen administrativen Zugang zu AMTs Out-of-Band-Management-Fähigkeiten zu erlangen, indem ein Fehler in der HTTP-Digest-Authentifizierungsimplementierung ausgenutzt wird. Dies bietet hardwarebasierte Kontrolle über das betroffene System, einschließlich Remote-Stromsteuerung, BIOS-Zugang und Tastatur-/Video-/Maus-Steuerung.
Welche Systeme sind von CVE-2017-5689 betroffen?
Die Schwachstelle betrifft Intel-Systeme mit AMT-, SBT- oder Standard-Manageability-Firmware. Dies umfasst Unternehmens-Desktops und -Laptops mit Intel vPro-Technologie sowie Industriesysteme von Herstellern wie Siemens (SIMATIC IPC-Serie) und HPE (ProLiant-Server). Die betroffenen Firmware-Versionen erstrecken sich über mehrere Intel-Produktgenerationen. Prüfen Sie Intels Advisory INTEL-SA-00075 für spezifische Versionsdetails und das Advisory Ihres Hardware-Herstellers für plattformspezifische Informationen.
Wie behebe ich CVE-2017-5689?
Wenden Sie das Firmware-Update von Intel oder Ihrem Hardware-Hersteller an, das den AMT-Authentifizierungs-Bypass behebt. Wenn AMT für Ihren Betrieb nicht erforderlich ist, deaktivieren Sie es im BIOS. Blockieren Sie AMT-Ports (16992-16995) an Ihrer Netzwerkperimeter, um Remote-Ausnutzung zu verhindern. Überprüfen Sie nach dem Patching AMT-Logs auf Anzeichen unautorisierter Zugriffe und erwägen Sie, Systeme mit Verdacht auf Kompromittierung von vertrauenswürdigen Medien neu zu erstellen.
Wie schwerwiegend ist CVE-2017-5689?
CVE-2017-5689 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Der EPSS-Score von 0,94194 (99,92. Perzentile) gehört zu den höchsten überhaupt beobachteten und spiegelt extreme Ausnutzungsaktivität wider. Die Schwachstelle ist besonders gefährlich, weil Intel AMT auf Hardware-Ebene unterhalb des Betriebssystems arbeitet, was die Ausnutzung für OS-basierte Sicherheitswerkzeuge unsichtbar macht und Angreifern die privilegierteste Form des Remote-Zugangs zum betroffenen System gewährt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.