Intel warnt vor kritischer Sicherheitslücke in CSME Engine

Intel hat eine Sicherheitswarnung für die Converged Security and Management Engine (CSME) herausgegeben. In der Chipsatz-Komponente für Intels Active-Management-Technologien steckt eine als kritisch eingestufte Sicherheitslücke. Ein Angreifer mit lokalem Zugriff kann eine nicht autorisierte Ausweitung von Nutzerrechten erlangen oder auf vertrauliche Informationen zugreifen. Auch Denial-of-Service-Angriffe sind möglich.

Bei der Schwachstelle mit der Kennung CVE-2019-14598 handelt es sich um einen Fehler in der Gerätefirmware. Entdeckt wurde die Schwachstelle von Intel-Mitarbeitern. Im zehnstufigen Common Vulnerability Scoring System ist sie mit 8,2 Punkten bewertet.

Betroffen sind Firmwareversionen vor 12.0.49, 13.0.21 und 14.0.11. „Intel empfiehlt eine Aktualisierung auf die CSME-Versionen 12.0.49, 13.0.21 und 14.0.11 oder später, die vom Systemhersteller zur Verfügung gestellt werden“, teilte das Unternehmen mit. „Intel empfiehlt IOT-Kunden, die CSME-Version 12.0.55 verwenden, auf 12.0.56 oder höher zu aktualisieren, die vom Systemhersteller zur Verfügung gestellt wird.“

Darüber hinaus stopft Intel auch Löcher in der RAID Web Console 2 (RWC2) und der RAID Web Console 3 (RWC3) für Windows. Eine Schwachstelle erlaubt es einem lokalen und bereits angemeldeten Benutzer, höhere Nutzerrechte zu erlangen. Dieser Bug betrifft alle Versionen von RWC2. Allerdings wird es kein Update dafür geben. Intel stuft das Produkt stattdessen als veraltet ein und rät seinen Kunden zu einem Upgrade auf RCW3.

Allerdings steckt die Anfälligkeit auch in RCW3. Hier steht jedoch ein Update auf die Version 7.010.009.000 bereit, das das Loch stopfen soll.

Einen weiteren Patch bietet Intel für den Manycore Platform Software Stack an. Die neue Version 3.8.6 beseitigt eine Anfälligkeit mit einem CVSS-Score von 6,7. Auch hier soll das Update eine nicht autorisierte Rechteausweitung verhindern.

Auch Nutzer des USB-3.0-Treibers von Intel Renesas Electronics und der Software Guard Extensions sind von einer möglichen Rechteausweitung betroffen. Ein Update verteilt Intel allerdings nur für die Software Guard Extensions. Den USB-Treiber wird Intel indes nicht aktualisieren und empfiehlt stattdessen, ihn zu deinstallieren oder nicht mehr zu nutzen.