Linux 시스템에서 Intel 권한 상승 취약점(CVE-2017-5689)을 감지하고 완화하는 방법은 무엇입니까?

Question 1

이 문제에 대해 내가 본 가장 명확한 게시물은 다음과 같습니다.매튜 가렛의(댓글 포함).

매튜가 지금 게시했습니다.도구로컬에서 시스템을 확인하세요. 빌드하고 실행하세요.

sudo ./mei-amt-check

AMT가 활성화 및 구성되었는지 여부와 그렇다면 펌웨어 버전을 보고합니다(아래 참조). 이것읽어보기 파일자세한 내용이 있습니다.

네트워크에서 잠재적으로 취약한 시스템을 검색하려면 포트 623, 624, 16992~16993(예: Intel 자체 포트)을 검색하세요.완화 문서);예를 들어

nmap -p16992,16993,16994,16995,623,664 192.168.1.0/24

192.168.1/24 네트워크가 검색되고 응답 호스트의 상태가 보고됩니다. 포트 623에 연결할 수 있다는 것은 잘못된 긍정일 수 있지만(다른 IPMI 시스템이 해당 포트를 사용함) 16992에서 16995 사이의 열린 포트는 AMT가 활성화되어 있다는 좋은 지표입니다(적어도 적절하게 응답하는 경우: AMT를 사용하면 16992 및 16993에 대한 HTTP 응답(후자는 TLS 사용).

포트 16992 또는 16993에서 응답이 표시되는 경우 AMT 지원 시스템에서 해당 포트에 연결하고 HTTP를 사용하여 요청하면 /"Intel(R) Active Management Technology"가 포함된 줄이 포함된 응답이 반환됩니다 Server. 또한 사용 중인 AMT 펌웨어 버전이 포함되어 있으며, 이는 다음에 제공된 목록과 비교할 수 있습니다.인텔 컨설팅취약한지 확인합니다.

바라보다CerberusSec의 답변위 작업을 자동화하는 스크립트에 대한 링크를 받으세요.

이 문제를 "올바르게" 해결하는 방법에는 두 가지가 있습니다.

시스템 제조업체에서 업데이트를 제공하면(사용 가능한 경우) 펌웨어를 업그레이드하십시오.
AMT를 지원하지 않는 시스템의 네트워크 인터페이스를 사용하거나 USB 어댑터를 사용하여 AMT를 제공하는 네트워크 포트를 사용하지 마십시오(i210 네트워크 포트가 있는 C226 Xeon E3 시스템과 같은 많은 AMT 워크스테이션은 USB 어댑터만 사용 가능). 하나의 AMT 강력한 네트워크 인터페이스 - 나머지는 안전합니다. AMT는 적어도 Windows에서는 Wi-Fi를 통해 작동하므로 내장 Wi-Fi를 사용하면 손상될 수도 있습니다.

두 옵션 모두 사용할 수 없으면 완화 영역에 있는 것입니다. AMT 지원 시스템이 AMT로 구성된 적이 없다면 매우 안전합니다. 이 경우 AMT를 활성화하는 것은 분명히 로컬에서만 수행할 수 있으며 제가 아는 한 시스템의 펌웨어나 Windows 소프트웨어를 사용해야 합니다. AMT가 활성화된 경우 재부팅하고 펌웨어를 사용하여 비활성화할 수 있습니다( CtrlP부팅 중에 AMT 메시지가 표시되면 누릅니다).

기본적으로 권한 취약점은 상당히 심각하지만 대부분의 인텔 시스템은 실제로 영향을 받지 않는 것으로 보입니다. Linux 또는 기타 Unix 계열 운영 체제를 실행하는 시스템의 경우 업그레이드 시 AMT를 먼저 활성화하려면 시스템에 물리적으로 액세스해야 할 수도 있습니다. (Windows는 또 다른 이야기입니다.) 언급한 대로 여러 네트워크 인터페이스가 있는 시스템에서레이 F. 리베이로, AMT 지원 인터페이스를 관리 인터페이스(IPMI 또는 VM 하이퍼바이저를 지원하는 호스트 인터페이스)처럼 처리하고 이를 관리 네트워크(물리적 또는 VLAN)에서 격리해야 합니다. 너할 수 없다호스트에 의존하여 자신을 보호하는 iptables등의 작업은 AMT가 OS보다 먼저 패킷을 확인하고 AMT 패킷을 자체적으로 유지하므로 여기서는 작동하지 않습니다.

가상 머신은 상황을 복잡하게 만들 수 있지만 AMT를 혼란스럽게 하여 AMT가 활성화된 상태에서 혼란스러운 검사 결과를 생성할 수 있는 경우에만 가능합니다.amt-howto(7)AMT가 DHCP(사용 가능한 경우)를 통해 DomU에 제공된 주소를 사용하는 Xen 시스템의 예가 제공됩니다. 즉, 스캔에는 Dom0이 아닌 DomU에서 AMT 활성이 표시됩니다.

Answer

이 문제에 대해 내가 본 가장 명확한 게시물은 다음과 같습니다.매튜 가렛의(댓글 포함).

매튜가 지금 게시했습니다.도구로컬에서 시스템을 확인하세요. 빌드하고 실행하세요.

sudo ./mei-amt-check