Vulnerabilità di sicurezza scoperta su Intel AMT, e divulgata

Proprio nel periodo in cui Meltdown e Spectre hanno scosso l'intera industria informatica arriva una nuova gatta da pelare per Intel. I ricercatori di F-Secure hanno rivelato una nuova debolezza su Active Management Technology di Intel, con il firmware di gestione che potrebbe consentire a chiunque abbia accesso fisico al PC di guadagnare i permessi di accesso remoto in via permanente. La vulnerabilità è presente all'interno del firmware Intel AMT, una tecnologia installata su circa 100 milioni di sistemi nell'ultima decade.

Secondo Intel la "colpa" è dei produttori dei sistemi immessi in commercio, e non della stessa Intel, per non aver protetto in maniera appropriata la configurazione di AMT all'interno dei menu di configurazione del BIOS. Intel ha avuto problemi con AMT lo scorso maggio, con una falla su alcune versioni del firmware che è stata corretta a novembre e la patch inviata ai produttori hardware. Ma la più recente vulnerabilità è stata scoperta a luglio da Harry Sintonen di F-Secure, e rivelata dalla firma di sicurezza negli scorsi giorni all'interno di un nuovo report sul sito ufficiale.

Non si tratta di un bug vero e proprio, ma di una feature che però può aprire le porte ad un attaccante di terze parti. Sfruttando la funzionalità i PC con Intel AMT possono essere compromessi in pochi istanti da chiunque abbia accesso al PC, anche aggirando la password del BIOS, i numeri di autenticazione personale di Trusted Platform Module e le password di crittografia dei dischi di Bitlocker. Basta infatti riavviare il sistema, entrare nei menu di configurazione del BIOS e selezionare la configurazione del Management Engine BIOS Extension (MEBx).

Se quest'ultima funzionalità non è stata configurata dall'utente, o dall'azienda, l'aggressore può accedere alle impostazioni di configurazione utilizzando banalmente la password di default "admin". L'aggressore può quindi modificare la password, abilitare l'accesso remoto e configurare il firmware alla bisogna per rendere il tutto trasparente. In questo modo l'attaccante può guadagnare l'accesso remoto al sistema se riesce a collegarsi alla stessa rete, per poi abilitare l'accesso via altre reti (che a detta di F-Secure richiede qualche passaggio aggiuntivo).

Come ogni attacco che richiede l'accesso fisico al sistema la sua pericolosità è ridotta, anche se il breve tempo richiesto per essere portato a compimento potrebbe consentire un facile exploit anche ad utenti senza grandi competenze. Intel non ha molte colpe in merito comunque: lo scorso mese ha rilasciato delle linee guida sulle best practice da seguire per configurare AMT in modo da impedire che possano essere eseguite aggressioni di questo tipo, sottolineando nella sezione Q&A che l'aggressione descritta da F-Secure può essere semplicemente evitata.

"Se la password di default di MEBx non è mai stata modificata, una persona non autorizzata con accesso fisico al sistema può accedere a Intel AMT via Intel MEBx o con una chiave USB usando la password di default", scrive Intel. "Se il produttore ha seguito le raccomandazioni di Intel per la protezione del menu Intel MEBx con la password del BIOS, l'attacco fisico del sistema potrebbe essere mitigato". Pare però che in pochi, fra i produttori, abbiano seguito i consigli di Intel e tutti i portatili provati da Sintonen soffrivano del problema.