Intel bestätigt kritische Lücken in der Management Engine

In Intels Management Engine gibt es diverse, als kritisch einzustufende Sicherheitslücken, dies bestätigt der Konzern, nachdem Forscher der britischen Security-Firma Positive Technologies dies schon im September verkündet hatten.
 
Im eigenen Security-Center listet Intel auf, was man nach einer Untersuchung herausgefunden habe. Die Untersuchung umfasste auch die hauseigene Trusted Execution Engine sowie die Intel Server Platform Services. In allen dreien habe man Lücken gefunden.
 
Diese Lücken – es seien laut Intel keine Backdoors – betreffen diverse Produkte, von der 6th-Generation-Core-Prozessor-Familie über die Atom-C3000 Prozessor-Familie bis hin zu Celeron-Prozessoren.
 
Die Management Engine (ME) sei eine kaum dokumentierte Black Box, schreibt 'The Register'. Wie jede Software hat sie Bugs, allerdings könnten diese sehr viel weitergehende Spionage-Möglichkeiten bieten als andere.
Noch haben die britischen Forscher keine Details zu ihren Erkenntnissen publiziert, dies soll erst im Dezember geschehen.
 
CVE-IDs und weitere Informationen zu den Bugs finden nun alarmierte Experten im Security-Center von Intel. Es empfiehlt offenbar für Microsoft- wie für Linux-User, das das Intel SA-00086-Detection-Tool zu nutzen.
 
Lenovo und Fujitsu sind die ersten bekannten Hersteller mit Patches; es gibt eine ordentliche Liste von Herstellern, die folgen müssen. Die Alternative, in den einschlägigen Foren gerade empfohlen: "ME abschalten und ausbauen".
 
Und wenn man schon dran ist, lohnt sich wohl ein Blick in den Intel-Post zur AMT Critical Firmware Vulnerability. Er datiert zwar vom 26. Mai, aber wird vom Google-Security-Forscher Matthew Garrett im Lichte der Intel-News auf Twitter in markigen Worten wieder in Erinnerung gerufen: Höchste Zeit zum Patchen, schreibt er. (mag)