 Alors qu'Intel a récemment été secoué par la découverte de la faille de sécurité majeure CVE-2017-5689 (INTEL-SA-00075) dans le module Active Management Technology (AMT) qui sert à la maintenance à distance des machines professionnelles vPro, voilà le deuxième effet KiSS Cool qui arrive avec la découverte d'une seconde vulnérabilité affectant aussi cette même technologie AMT.
Si la première faille dévoilée au mois de mai était véritablement critique puisqu'il était possible d'accéder à l'interface de configuration AMT avec un mot de passe nul, la nouvelle faille est qualifiée par Intel de modérée et présente donc un score CVSS de seulement 3,0.
Cette vulnérabilité a été identifiée par Lenovo et a pour référence CVE-2017-5697 (bulletin INTEL-SA-00081). L'exploit consiste selon Intel à piéger une page web pour détourner les clics de l'utilisateur (clickjacking) et récupérer des données alors que l'utilisateur pense être sur l'interface web de configuration de l'AMT. Aucune précision supplémentaire n'est donnée sur la méthode employée pour effectuer cette falsification.
Intel indique avoir renforcé la protection de l'interface web AMT contre le clickjacking et avoir intégré le correctif dans les versions ci-dessous et supérieures du firmware Management Engine (ME).
Versions du firmware ME disposant du correctif
- Branche 9.0/9.1 : 9.1.40.100
- Branche 9.5 : 9.5.60.1952
- Branche 10.0 : 10.0.50.1004
- Branche 11.0 : 11.0.0.1205
- Branche 11.6 : 11.6.25.1129
Vu que les firmwares ME déployés en ce moment par les fabricants pour corriger la première faille CVE-2017-5689 ont un numéro de version supérieur aux versions corrigées, cela signifie qu'ils intègrent bien également le correctif en question pour le clickjacking. Il ne sera donc pas nécessaire pour les OEM de développer une seconde fournée de BIOS/UEFI. En fait, il est fort probable que cette faille clickjacking ait été découverte avant celle du mot de passe.
On ne sait en revanche pas ce qu'il en est pour les précédentes branches du firmware ME (6.x, 7.x, 8.x) et si elles sont épargnées ou affectées par cette faille.
|
Modérateur TLD
|
|
Actualités
25/04/24 Crucial publie l'ISO du firmware M3CR046 pour certains SSD Crucial MX500
25/04/24 Intel Arc Graphics 101.5445 WHQL
25/04/24 Fujifilm X100VI 1.10
24/04/24 Thermalright Core Vision/Frozen Warframe 1.2.4
24/04/24 Crucial MX500 CD/USB M3CR04x M3CR046
24/04/24 Pioneer DJ DJM-A9 1.04
