リモート管理機能「Intel AMT」、リモートから任意のコードが実行可能な権限昇格の脆弱性

岩崎宰守 2017年5月8日 19:15

　Intelは、ビジネス向けのリモート管理機能である「Intel AMT（Active Management Technology）」などにおける権限昇格の脆弱性「CVE-2017-5689」に対して注意を喚起している。

　Intelでは、CVE-2017-5689に対して「intel-sa-00075」のナンバリングを行っており、危険度については最も高い“Critical”にレーティングしている。また、共通脆弱性評価システム「CVSS v3」のスコアは9.8と高い。Intel AMTのバージョン6.0～11.6、加えて「Intel SBT（Small Business Technology）」、「Intel SM（Standard Manageability）」も脆弱性の対象となる。

　Intel AMTは、チップセットに搭載された専用チップにより、リモートから電源オン／オフを含むPCの操作を可能にする機能。リモートからはウェブブラウザー経由で、PCへのアップデート適用やハードディスクの消去などの管理や、PCの操作が行える。脆弱性を悪用すれば、本来必要なパスワードを入力せずに、PCへログインが可能になるという。

　Intel AMTは、ビジネス向けの「Intel vPro」に対応する“Q”ではじまる型番のチップセットを採用したPCで利用できるもので、脆弱性の対象となるのは、2010年に提供が開始された第1世代のCore iシリーズ用チップセット「Intel Q57/QM57/QS57」から、第2世代の「Q67/QM67/QS67」、第3世代の「Q77/QM77/QS77」、第4世代の「Q87/QM87」、第6世代の「Q170/QM150/QS170」、第7世代の「Q270/QM250/QS270」まで幅広い。

　Intelでは、一般向けPCは脆弱性の影響を受けないとしているが、上記のチップセットを採用するPCであれば、例えばLenovoの「ThinkPad Xシリーズ」や「同Tシリーズ」なども対象となる。Lenovoのほか、Dell、富士通、HPの各社でも、この脆弱性に関する情報を公開している。

　なお、Intelでは、システムが脆弱性の影響を受けるかどうかを確認できる「INTEL-sa-00075検出ガイド」および関連ドキュメントを公開している。また、「Local Manageability Service（LMS）」サービスを停止することで脆弱性の影響を緩和する「intel-sa-00075プロビジョン解除ツール」の提供を行っている。

　なお、Intel AMTの機能を利用するためには、UEFIまたはBIOSで、対象の項目が「Enable」（有効）に設定されている必要がある。また、TCP/UDPポートの16992番または16993番が利用可能な状態になっている必要がある。

Intelの管理機能「AMT」にリモート攻撃の危険性

後藤大地

F-Secureは2018年1月12日(米国時間)、「A Security Issue in Intel’s Active Management Technology (AMT)｜F-Secure」において、Intelが提供している管理機能「Active Management Technology(AMT)」のデフォルト設定がセキュリティ上問題のある状態になっており、物理的に接触できれば簡単な操作で対象のPCをリモート制御可能な状態に変更できると伝えた。

説明されている攻撃手法は次のとおり。

PCを起動または再起動
起動の途中でIntel Management Engine BIOS Extension (MEBx)を選択。デフォルトパスワードの「admin」を入力
パスワードを変更、リモートアクセスを有効化、ユーザオプトインをNoneに変更

問題はIntel Management Engine BIOS Extension (MEBx)を選択した場合に要求されるパスワードがデフォルトで「admin」となっており、さらにこのデフォルトパスワードはほとんど変更されることなく使われているだろうという状況にあるとしている。

このため、PCに物理的にアクセスさえできれば、1分ほどの作業でリモートアクセス可能な設定に変更でき、以降は遠隔から攻撃者によってアクセスを受ける危険性が生じるという。

IntelのPC管理機能AMTにセキュリティ問題、簡単に悪用可能

　米IntelのビジネスPC向けリモート管理機能「Active Management Technology（AMT）」に、攻撃者が簡単に悪用できてしまう問題が見つかったと、セキュリティ企業のF-Secureが報告した。

　AMTは、企業のIT部門や管理サービスプロバイダーが、ユーザーのPCのモニタやメンテナンスを行うために実装されている機能。しかし、今回見つかったAMTのセキュリティ問題は、極めて簡単に悪用でき、たとえ厳重なセキュリティ対策がかけられていたとしても、ローカルの攻撃者が短時間でバックドアを仕込むことができてしまうという。

　F-Secureによれば、攻撃者がこの問題を悪用するためには、狙ったPCに物理的にアクセスできる必要がある。PCをリブートさせてブートメニューを表示し、AMTを設定するためのManagement Engine BIOS Extension（MEBx）を選択して、デフォルトのパスワードである「admin」を入力することで、ログインが可能になる。

　ここでデフォルトのパスワードを変更して、リモートからのアクセスを有効にし、AMTのユーザーオプトインを「None」に設定すれば、攻撃者がそのPCをリモートで制御できてしまう状態になる。

　ほとんどの場合、ユーザーはデフォルトのパスワードをadminのまま変更していないといい、F-Secureがチェックした全システムにこの問題が確認されたとしている。

　企業以外でも、例えば空港やカフェ、ホテルのロビーといった公共の場で狙った相手に対し、1人がユーザーの気をそらしている間に、もう1人がPCにアクセスするといった手口も考えられるという。

　この攻撃は、AMTに強力なパスワードを設定するか、AMTを無効にすることで防止できる。しかし、特に大企業などでは、IT部門が管理している多数のPCでまとめて対策を講じることは難しいかもしれない、とF-Secureは指摘している。