公開日:2017/05/08 最終更新日:2017/05/17

JVNVU#92793783
Intel Active Management Technology (AMT) にアクセス制限不備の脆弱性

概要

Intel Active Management Technology (AMT) にはアクセス制限不備の脆弱性が存在します。

影響を受けるシステム

  • Intel manageability ファームウェア バージョン 6.x, 7.x, 8.x, 9.x, 10.x, 11.0, 11.5 および 11.6 を使用しているハードウェア
次の機能を有効にしている場合に影響が確認されています。
  • Intel Active Management Technology
  • Intel Small Business Technology
  • Intel Standard Manageability

詳細情報

不適切なアクセス制御 (CWE-284) - CVE-2017-5689
Intel が提供するファームウェアは、コンピュータシステムのリモート管理機能として、Intel Active Management Technology (AMT)、Intel Small Business Technology (SBT)、Intel Standard Manageability などを提供しています。これらの機能では、複数のポートを使用して管理用コマンドを待ち受けています。Intel の文書によると、AMT に対するウェブインターフェースとしてポート 16992 および 16993 が使われています。また、他のポート 16994 と 16995 あるいは 623 と 664 が使われている場合もあります。

これらのリモート管理機能に対応した Intel Management Engine には、遠隔の (認証されていない) 第三者によってリモート管理機能にアクセスされる脆弱性があります。 Intel はこの脆弱性に対してセキュリティアドバイザリ (INTEL-SA-00075) および軽減のためのガイド (INTEL-SA-00075 Mitigation Guide) を提供しています。

また、OEM 製品においてもこのリモート管理機能が有効になっている可能性があります。

想定される影響

遠隔の第三者によって、システムのリモート管理機能にアクセスされる可能性があります。

対策方法

ファームウェアをアップデートする
Intel から、本脆弱性の対策版ファームウェアがリリースされています。
セキュリティアドバイザリ INTEL-SA-00075 およびハードウェアベンダが提供する情報をもとに、ファームウェアをアップデートしてください。

また、Intel は、対策版ファームウェアが提供されていない OEM 製品のユーザ向けに軽減のためのガイドを提供しています。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
富士通株式会社 該当製品あり 2017/05/10 富士通株式会社 の告知ページ
東芝クライアントソリューション株式会社 該当製品あり 2017/05/17 東芝クライアントソリューション株式会社 の告知ページ
ベンダ リンク
Intel Corporation INTEL-SA-00075
INTEL-SA-00075 Mitigation Guide

参考情報

  1. CERT/CC Vulnerability Note VU#491375
    Intel Active Management Technology (AMT) does not properly enforce access control
  2. Embedi
    What You Need Know About Intel Amt Vulnerability
  3. Tenable Blog
    Rediscovering the Intel AMT Vulnerability

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
基本値: 9.8
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)
CVSS v2 AV:N/AC:L/Au:N/C:C/I:C/A:C
基本値: 10.0
攻撃元区分(AV) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 中 (M) 低 (L)
攻撃前の認証要否(Au) 複数 (M) 単一 (S) 不要 (N)
機密性への影響(C) なし (N) 部分的 (P) 全面的 (C)
完全性への影響(I) なし (N) 部分的 (P) 全面的 (C)
可用性への影響(A) なし (N) 部分的 (P) 全面的 (C)

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2017-5689
JVN iPedia

更新履歴

2017/05/10
富士通株式会社のベンダステータスが更新されました
2017/05/17
東芝クライアントソリューション株式会社のベンダステータスが更新されました