Intel: parches para Linux de su vulnerabilidad AMT

A principios de mes os comenté sobre una vulnerabilidad de tipo crítico, que afectaba al subsistema AMT de Intel, un firmware que acompaña a algunos de los procesadores que vende la compañía.

Una tecnología que está diseñada para que los administradores de sistemas puedan realizar operaciones de monitorización, así como de gestión de múltiples equipos, en entornos empresariales.

Ahora se ha descubierto que además permite una escalada de privilegios de forma remota o local, con lo que un potencial atacante se podría hacer con el control de nuestro ordenador, sin necesidad de autenticarse (con dejar la contraseña en blanco es suficiente).

Es algo que se produce independientemente del sistema operativo ejecutado y que básicamente depende de la antigüedad del procesador (AMT viene en modelos relativamente recientes) y de si dicho subsistema ha sido habilitado y provisionado por el fabricante.

Aunque se han propuesto soluciones de detección y desactivación en la BIOS del equipo (algo no siempre posible), no fue hasta hace un par de días que Intel lanzó unas herramientas para detectar y desproveer esta función en Linux (como suele ser habitual, con Windows se dieron más prisa), acompañadas de sus respectivos manuales.

Se incluyen dos ejecutables (Discovery-Tool y Unprovisioning-Tool) que se lanzan como root (requiere Ubuntu 14.04 LTS o 16.04 LTS). Por ej:

sudo ./INTEL-SA-00075-Discovery-Tool

Si nos marca que es vulnerable, Intel recomienda ejecutar el otro binario, para deshabilitar dicha función:

sudo ./INTEL-SA-00075-Unprovisioning-Tool

También es posible que nos muestre resultados inconclusos dependiendo de la versión de AMT, o el tipo de provisionamiento que haya hecho el fabricante.

Un pequeño consejo: cierta prudencia antes de ejecutar comandos a lo loco, que impliquen tocar el firmware o la BIOS del equipo, aún por muy de Intel que sea el programa. No digo que vaya a convertirse en un ladrillo, pero comprobar antes si ha habido algún problema con vuestro modelo, no hace daño.

Un paseo por los foros de vuestras respectiva marcas para ver si existe alguna solución específica, tampoco está de mas.

Señalar que en el paquete de descarga, Intel también provee el código fuente (en lenguaje de programación C) de ambas herramientas bajo licencia libre de tipo dual (BSD/GPLv2), por si nos apetece compilarlo o echarle un vistazo.

4 thoughts on “Intel: parches para Linux de su vulnerabilidad AMT”

  1. B-Lion says:

    La verdad es que en este caso se demoraron mucho en entregar una solución. Pero al menos ya estamos un poco más seguros.

  2. guest says:

    sudo ./INTEL-SA-00075- -d /dev/mei#

  3. alunado again says:

    Mudaos todos!
    Compraos o adquirios un AMD Ryzen! y dejais de joder coño!

    1. lorabe says:

      Lo que dices no es descabellado.

Deja un comentario