Microsoft Statement zu Sicherheitsproblem mit der Intel Management Engine

Seit einigen Wochen gibt es eine kritische Sicherheitslücke in der Intel Management Engine. Diese Technologie kommt auch in den Surface Modellen zum Einsatz. Seit heute gibt es ein offizielles Statement von Microsoft dazu.

Intel hat für die als Intel SA-00086 bekannte Lücke in der Intel Management Engine (ME) ein Test-Tool für Windows und Linux bereitgestellt. Mit dem Script kann jeder Besitzer einer der potentiell betroffenen Core-i- oder Xeon-CPUs der letzten Jahre testen, ob sein System von der Lücke betroffen ist. Alle Surface-Geräte werden bzw. wurden dort als betroffen ausgewiesen. Das Tool kann von der Intel-Webseite https://downloadcenter.intel.com/download/27150 heruntergeladen werden.

Da auch bereits viele Internetseiten darüber berichtet haben, unter anderem auch Computerbase.de in diesem Artikel war ich gespannt, wann Microsoft wohl reagieren würde. Heute gab es dann ein Statement. In diesem TechNet Artikel https://blogs.technet.microsoft.com/surface/2017/12/11/intel-management-engine-vulnerability-and-surface-devices/ schreibt Microsoft:

Für diejenigen, die vielleicht das eine oder andere nicht so gut verstehen, mal grob übersetzt:

Microsoft ist sich der Sicherheitsanfälligkeit durch Intel Management Engine ( Intel-SA-00086 ) bewusst. Das Intel-Tool zur Erkennung von Sicherheitslücken listet derzeit Microsoft Surface-Geräte als anfällig für diese Sicherheitsempfehlung auf.

Microsoft hat das Problem untersucht und Folgendes festgestellt:

1. Für die Remoteausnutzung dieser Sicherheitsanfälligkeit ist Intel Active Management Technology (AMT) erforderlich.. Aktuelle Surface-Geräte erlauben keine Remote-Verbindung zum ME, da unsere Geräte AMT nicht ausführen.
2. Die lokale Ausnutzung dieser Sicherheitsanfälligkeit erfordert den Direct Connect Interface-Zugriff (DCI) über USB, der auf Surface-Geräten nicht zur Verfügung steht.

Aus diesem Grund glauben wir, dass Exploits, die diese Sicherheitsanfälligkeit verwenden, auf Surface-Geräten erheblich reduziert sind. Wir legen großen Wert darauf, dass unsere Geräte zuverlässig und sicher sind,und arbeiten mit Intel zusammen, um Fixes für aktuelle Geräte zu erstellen, die wir in naher Zukunft veröffentlichen werden.

Unseren Informationen zufolge wurden Surface Pro 4 und Surface Studio bereits gefixt. Die anderen Geräte stehen noch aus. Diese Woche ist erstmal die normale Windows Security Patch Woche, daher ist es eher unwahrscheinlich, dass das Fix für diese Sicherheitslücke noch in dieser Woche erscheint. Aber wenn es rauskommt, berichten wir.