英特爾有個高風險漏洞，存在近十年都沒修補
發布日期 2017 年 05 月 04 日 17:52
一個高危漏洞存在於英特爾晶片近十年，並且早在幾年前，就有機構提醒過
該漏洞的存在，然而英特爾近日才公布，這究竟是什麼原因導致？恐怕只有
他們自己知道。
5 月 1 日，英特爾（Intel）公司公布了一個嚴重高風險（Critical）等級
安全漏洞，攻擊者可以利用該漏洞進行英特爾產品系統的遠程控制提權。漏
洞影響所有英特爾企業版服務器和綜合利用技術，涉及版本號為 6.x、
7.x、8.x、9.x、10.x、11.5 以及 11.6 系列的所有韌體產品。這意味著英
特爾近十年來的韌體晶片都會受到影響！
據了解，該漏洞主要在英特爾管理引擎（ME ）的主動管理（AMT）、伺服器
管理組件（ISM）以及英特爾小企業技術（SBT）中，普通個人電腦 PC 由於
沒有相應模組，所以不會被遠程控制提權。
「我們向英特爾反映了多年！」
英特爾發布公告後，國外科技曝料網站 Semiaccurate 發布文章表示：
我們近年來一直懇求英特爾公司盡快修復該漏洞，然而他們現在才後知後
覺。
Semiaccurate 聲稱自己 5 年前就開始向英特爾公司提交這個漏洞，英特爾
公司 10 年來對該漏洞不屑一顧，選擇現在公布修復，可能是的確受到一些
重大影響而不得不承認的舉措。
Semiaccurate 指出了漏洞的原因：
Intel 晶片中有一個獨立於 CPU 和操作系統的微處理器，叫做英特爾管理
引擎 Intel Management Engine，簡稱 ME。多種技術都利用 ME，包括代碼
處理、媒體 DRM、可信平台模組 TPM 等。
ME 是一個有別於 CPU 的獨立系統，它可以在不受 CPU 管控下透過搭配
AMT（英特爾主動管理技術）等技術用來遠程管理企業電腦。
據了解，AMT 技術允許 IT 技術員遠程管理和修復聯網的電腦系統，它能夠
自動執行一個獨立於操作系統的子系統，使得在操作系統出現故障的時候，
管理員能夠在遠程監視和管理客戶端、進行遠程管理和系統檢測、軟硬體檢
查、遠端更新 BIOS 和病毒碼及操作系統，甚至在系統關機的時候，也可以
經由網路對伺服器進行管理操作。
Semiaccurate 在其文章中特別強調了一點，暗示英特爾在晶片中故意留有
後門：
儘管英特爾對 ME 有著很多官方說明，但 ME 技術架構一直是英特爾不願談
及的話題，因為沒人真正知曉該技術的真正目的，以及是否可以做到完全禁
用等。
而英特爾發言人則表示，該漏洞編號為 CVE-2017-5689，於 3 月底由安全
研究者 Maksim Malyutin 發現並提交。目前，韌體升級修補程式正在開發
中，後期修補程式的推送和分配必須由製造商加密簽名和其他配合。希望與
設備製造商積極合作，在接下來幾週能盡快向用戶提供韌體升級修補程式。
英特爾方面目前並未發現利用該漏洞的攻擊案例。
也有人指出，之所以英特爾忽略 Semiaccurate 的漏洞預警，很可能是因為
Semiaccurate 只是向英特爾強調 ME 這個架構存在「漏洞風險」，沒能指
出或者證明這個漏洞的存在。而直到今年 3 月底資安研究者 Maksim 提交
了該漏洞，英特爾便在一個月左右公布並提出了相應解決方案。
應對措施
英特爾給出了相應的應對方案，指出要修復這個漏洞必須讓裝置廠商更新韌
體，當然用戶也可以先透過一些緩解措施進行快捷處理。比如對企業級伺服
器下的晶片韌體進行升級，需要升級的版本如下所示：
第一代 Core family: 6.2.61.3535
第二代 Core family: 7.1.91.3272
第三代 Core family: 8.1.71.3608
第四代 Core family: 9.1.41.3024 and 9.5.61.3012
第五代 Core family: 10.0.55.3000
第六代 Core family: 11.0.25.3001
第七代 Core family: 11.6.27.3264
除了對韌體進行更新，英特爾也建議該系列如何處置：
檢測你的系統中是否配置有 Intel AMT、SBA 或 ISM 技術架構。
如果系統中配置有 Intel AMT、SBA 或 ISM 技術架構，檢測你的系統韌體
是否受到影響。
及時與系統 OEM 廠商對更新韌體進行核實，更新韌體一般為四部分數位的
版本號，如 XXXX.3XXX。
如果OEM 廠商還未發布更新韌體，請及時對系統進行緩解操作。
http://technews.tw/2017/05/04/intel-security-problem/
樓下大濕