Intel® Management Engine Critical ファームウェアアップデート(Intel-SA-00086)

Intel® Management Engine(Intel® ME 6.x/7.x/8.x/9.x/10.x/11.x)、Intel® Trusted Execution Engine(Intel® TXE 3.0)、および Intel® Server Platform Services(Intel® SPS 4.0)の脆弱性(Intel-SA-00086)

外部研究者が指摘した課題に対応して、Intelはファームウェアのレジリエンス向上を目的とした包括的なセキュリティレビューを実施しました。

• インテル®管理エンジン(Intel® ME)
• Intel® Trusted Execution Engine(Intel® TXE)
• インテル®・サーバー・プラットフォーム・サービス(SPS)

インテルは、特定のPC、サーバー、IoTプラットフォームに影響を与える可能性のあるセキュリティ脆弱性を特定しました。

Intel MEファームウェアバージョン6.x-11.xを使用しているシステム、SPSファームウェアバージョン4.0のサーバー、TXEバージョン3.0を使用しているシステムが影響を受けます。これらのファームウェアバージョンは以下のプロセッサで見つかるかもしれません:

• 第1、第2、第3、第4、第5、第6、第7、第8世代のインテル®・コア™プロセッサファミリー
• Intel® Xeon® プロセッサ E3-1200 v5 および v6 製品ファミリー
• Intel® Xeon® プロセッサ スケーラブルファミリー
• Intel® Xeon® Wプロセッサ
• Intel Atom® C3000 プロセッサファミリー
• アポロレイク Intel Atom® プロセッサ E3900シリーズ
• アポロレイク Intel® Pentium® プロセッサ
• Intel® Pentium® Processor G シリーズ
• インテル®セレロン® G、N、Jシリーズプロセッサ

特定された脆弱性がシステムに影響を与えるかどうかを判断するには、以下のリンクを使ってIntel CSMEバージョン検出ツールをダウンロードし実行してください。

よくある質問欄

利用可能なリソース

• インテル公式セキュリティアドバイザリー:脆弱性に関する技術的詳細

MicrosoftおよびLinux*ユーザー向けのリソース

• Intel CSMEバージョン検出ツール

システム/マザーボードメーカーからのリソース

• ASRock: サポート情報
• ASUS: サポート情報
• Compulab: サポート情報
• Dellクライアント: サポート情報
• 富士通: サポート情報
• GIGABYTE: サポート情報
• HPEサーバー: サポート情報
• Intel® NUCおよびIntel® Compute Stick: サポート情報
• Intel®サーバー: サポート情報
• Lenovo: サポート情報
• オラクル: サポート情報
• Quanta/QCT: サポート情報
• シーメンス: サポート情報
• スーパーマイクロ: サポート情報
• Vaio: サポート情報

よくある質問:

Q: Intel CSMEバージョン検出ツールが私のシステムが脆弱であると報告しています。どうすればいい?
A: Intelは、セキュリティアドバイザリーIntel-SA-00086で特定された脆弱性を解決するため、システムおよびマザーボードメーカーに必要なファームウェアおよびソフトウェアアップデートを提供しました。

アップデートをエンドユーザーに提供する計画については、システムやマザーボードメーカーに問い合わせてください。

一部のメーカーは、追加情報や利用可能なソフトウェアアップデートを入手できるよう、インテルに直接リンクを提供しています(下記のリストを参照)。

Q: なぜシステムやマザーボードの製造元に連絡する必要があるのですか?なぜIntelは私のシステムに必要なアップデートを提供してくれないのでしょうか?
A: Intelはシステムおよびマザーボードメーカーによる管理エンジンのファームウェアカスタマイズのため、 汎用 アップデートを提供できません。

Q: 私のシステムはIntel CSMEバージョン検出ツールによって脆弱性の 可能性があると 報告されています。どうすればいい?
A: 以下のいずれかのドライバーがインストールされていない場合、通常「 脆弱」 状態が表示されます。

• Intel® Management Engine Interface(Intel® MEI)ドライバー

• Intel® Trusted Execution Engine Interface(Intel® TXEI)ドライバー

システムやマザーボードメーカーに連絡して、適切なドライバーを入手してください。

Q: 私のシステムやマザーボードの製造元はリストに表示されていません。どうすればいい?
A: 以下のリストは、インテルから情報を提供したシステムやマザーボードメーカーからのリンクを示しています。メーカー名が表示されない場合は、標準のサポート手段(ウェブサイト、電話、メールなど)を使って連絡してください。

Q: 攻撃者が特定された脆弱性を悪用するためにはどのようなアクセスが必要ですか?
A: 機器メーカーがIntel推奨のFlash Descriptor書き込み保護を有効にしている場合、攻撃者はプラットフォームのファームウェアフラッシュに 物理的にアクセスする 必要があり、以下で特定された脆弱性を利用可能です:

• CVE-2017-5705
• CVE-2017-5706
• CVE-2017-5707
• CVE-2017-5708
• CVE-2017-5709
• CVE-2017-5710
• CVE-2017-5711

製造の終焉

攻撃者は、プラットフォームのフラッシュメモリに物理的に接続されたフラッシュプログラマを通じて、悪意のあるファームウェアイメージを手動で更新することで物理的アクセスを得ます。フラッシュディスクリプタ書き込み保護は、 通常製造終了時に設定されるプラットフォーム設定です。Flash Descriptorの書き込み保護は、製造完了後にFlashの設定が悪意あるまたは意図せず変更されるのを防ぎます。

機器メーカーがIntel推奨のFlash Descriptor書き込み保護を有効にしていない場合、攻撃者はオペレーティングカーネルアクセス(論理アクセス、OSリング0)が必要です。攻撃者はこのアクセス権を必要とし、悪意のあるプラットフォームドライバを通じてプラットフォームに悪意のあるファームウェアイメージを適用して特定された脆弱性を悪用します。

CVE-2017-5712で特定された脆弱性は、有効な管理者®情報管理エンジンの認証情報と連携して ネットワーク上でリモートで 悪用可能です。有効な管理者認証情報が利用できない場合、この脆弱性は悪用されません。

さらにサポートが必要な場合は、 Intel カスタマーサポート に連絡してオンラインでのサービスリクエストを提出してください。