一个高危漏洞存在于英特尔芯片近十年，并且早在几年前，就有机构提醒过该漏洞的存在，然而英特尔近日才公布，这究竟是什么原因导致？恐怕只有他们自己知道。
5 月 1 日，英特尔（Intel）公司公布了一个严重高风险（Critical）等级安全漏洞，攻击者可以利用该漏洞进行英特尔产品系统的远程控制提权。漏洞影响所有英特尔企业版服务器和综合利用技术，涉及版本号为 6.x、7.x、8.x、9.x、10.x、11.5 以及 11.6 系列的所有固件产品。这意味着英特尔近十年来的固件芯片都会受到影响！
据了解，该漏洞主要在英特尔管理引擎（ME ）的主动管理（AMT）、服务器管理组件（ISM）以及英特尔小企业技术（SBT）中，普通个人电脑 PC 由于没有相应模组，所以不会被远程控制提权。
“我们向英特尔反映了多年！”
英特尔发布公告后，国外科技曝料网站 Semiaccurate 发布文章表示：
我们近年来一直恳求英特尔公司尽快修复该漏洞，然而他们现在才后知后觉。
Semiaccurate 声称自己 5 年前就开始向英特尔公司提交这个漏洞，英特尔公司 10 年来对该漏洞不屑一顾，选择现在公布修复，可能是的确受到一些重大影响而不得不承认的举措。
Semiaccurate 指出了漏洞的原因：
Intel 芯片中有一个独立于 CPU 和操作系统的微处理器，叫做英特尔管理引擎 Intel Management Engine，简称 ME。多种技术都利用 ME，包括代码处理、媒体 DRM、可信平台模组 TPM 等。
ME 是一个有别于 CPU 的独立系统，它可以在不受 CPU 管控下透过搭配 AMT（英特尔主动管理技术）等技术用来远程管理企业电脑。
据了解，AMT 技术允许 IT 技术员远程管理和修复联网的电脑系统，它能够自动执行一个独立于操作系统的子系统，使得在操作系统出现故障的时候，管理员能够在远程监视和管理客户端、进行远程管理和系统检测、软硬件检查、远端更新 BIOS 和病毒码及操作系统，甚至在系统关机的时候，也可以经由网络对服务器进行管理操作。
Semiaccurate 在其文章中特别强调了一点，暗示英特尔在芯片中故意留有后门：
尽管英特尔对 ME 有着很多官方说明，但 ME 技术架构一直是英特尔不愿谈及的话题，因为没人真正知晓该技术的真正目的，以及是否可以做到完全禁用等。
而英特尔发言人则表示，该漏洞编号为 CVE-2017-5689，于 3 月底由安全研究者 Maksim Malyutin 发现并提交。目前，固件升级修补程式正在开发中，后期修补程式的推送和分配必须由制造商加密签名和其他配合。希望与设备制造商积极合作，在接下来几周能尽快向用户提供固件升级修补程式。英特尔方面目前并未发现利用该漏洞的攻击案例。
也有人指出，之所以英特尔忽略 Semiaccurate 的漏洞预警，很可能是因为 Semiaccurate 只是向英特尔强调 ME 这个架构存在“漏洞风险”，没能指出或者证明这个漏洞的存在。而直到今年 3 月底资安研究者 Maksim 提交了该漏洞，英特尔便在一个月左右公布并提出了相应解决方案。
应对措施
英特尔给出了相应的应对方案，指出要修复这个漏洞必须让装置厂商更新固件，当然用户也可以先透过一些缓解措施进行快捷处理。比如对企业级服务器下的芯片固件进行升级，需要升级的版本如下所示：
第一代 Core family: 6.2.61.3535
第二代 Core family: 7.1.91.3272
第三代 Core family: 8.1.71.3608
第四代 Core family: 9.1.41.3024 and 9.5.61.3012
第五代 Core family: 10.0.55.3000
第六代 Core family: 11.0.25.3001
第七代 Core family: 11.6.27.3264
除了对固件进行更新，英特尔也建议该系列如何处置：
- 检测你的系统中是否配置有 Intel AMT、SBA 或 ISM 技术架构。
- 如果系统中配置有 Intel AMT、SBA 或 ISM 技术架构，检测你的系统固件是否受到影响。
- 及时与系统 OEM 厂商对更新固件进行核实，更新固件一般为四部分数位的版本号，如 XXXX.3XXX。
- 如果OEM 厂商还未发布更新固件，请及时对系统进行缓解操作。
（本文由 雷锋网 授权转载；首图来源：Flickr/Pascal Volk CC BY 2.0）
