Intel: Sicherheitslücke erlaubt Zugriff auf BIOS/EFI

Intel hat eine Schwachstelle im SPI-Flash-Speicher zahlreicher Prozessorreihen gemeldet, die vielfältige Angriffsmöglichkeiten bis hin zur Ausführung beliebigen Programmcodes bietet. Der Chiphersteller bewertet diesen Fehler mit 7,9 auf einer Skala bis 10 (CVSSv3) und damit relativ hoch. Die mit CVE-2017-5703 bezeichnete Sicherheitslücke sei intern bemerkt worden – und eine Entdeckung durch Außenstehende nicht bekannt.

SPI-Flash ist eine Komponente, die für den Rechnerstart erforderlich ist und als Speicher für die Firmware dient. Bei den betroffenen Chips erlaubt die SPI-Flash-Konfiguration „einem lokalen Angreifer, das Verhalten des SPI-Flash zu ändern, was möglicherweise zu einem Denial of Service führen kann“. Laut Intel hat das Problem keine Root-Ursache und ist mit einem bereits verfügbaren Fix zu beheben.

Den Nutzern empfiehlt Intel deshalb, die Supportseiten ihrer Systemhersteller auf aktuelle Sicherheitsupdates zu überprüfen. Offenbar als erster Hersteller hat inzwischen Lenovo reagiert und damit begonnen, für viele seiner Computermodelle BIOS/UEFI-Updates mit dem Fix anzubieten, der von Intel Anfang dieses Monats bereitgestellt wurde.

Lenovo nennt außerdem weitere Details zu möglichen Angriffen, die aus der Sicherheitswarnung des Chipherstellers nicht hervorgingen. Demnach könnte ein Angreifer die Schwachstelle ausnutzen, um das Booten eines Systems zu verhindern, seine Funktionsweise zu verändern oder beliebigen Code während der Startsequenz des Systems auszuführen.

„Die Konfiguration der System-Firmware-Komponente (SPI-Flash) könnte einem Angreifer erlauben, BIOS/UEFI-Updates zu blockieren oder selektiv Teile der Firmware zu löschen oder zu beschädigen“, heißt es weiter. „Das würde wahrscheinlich zu einer erkennbaren Fehlfunktion führen, könnte aber unter seltenen Umständen beliebige Codeausführung ermöglichen.“

Intels Sicherheitswarnung führt eine beträchtliche Anzahl gefährdeter Prozessortypen auf. Durch die Bank sind seine Core-Prozessoren von der fünften bis zur achten Generation betroffen. Die Liste verweist außerdem auf zahlreiche Chips aus Intels Produktpalette, die als Pentium, Celeron, Atom und Xeon in den Verkauf kamen.

Unklar bleibt allerdings wie bei den Microcode-Updates für die CPU-Sicherheitslücken Meltdown und Spectre, wie Nutzer an die von Intel entwickelten Updates kommen, die es nur seinen Partnern wie PC- und Mainboard-Herstellern zur Verfügung stellt. Einige davon haben jedoch schon früh signalisiert, dass sie die Updates nur für wenige aktuelle Produkte bereitstellen werden.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

ZDNet.de Redaktion

Recent Posts

EU-Datenschützer kritisieren Facebooks „Zustimmung oder Bezahlung“-Modell

Ohne eine kostenlose Alternative, die ohne Zustimmung zur Verarbeitung personenbezogener Daten zu Werbezwecken auskommt, ist…

21 Stunden ago

Europol meldet Zerschlagung der Phishing-as-a-Service-Plattform LabHost

LabHost gilt als einer der größten Phishing-Dienstleister weltweit. Die Ermittler verhaften 37 Verdächtige, darunter der…

23 Stunden ago

DE-CIX Frankfurt bricht Schallmauer von 17 Terabit Datendurchsatz pro Sekunde

Neuer Datendurchsatz-Rekord an Europas größtem Internetknoten parallel zum Champions-League-Viertelfinale.

1 Tag ago

Samsungs neuer LPDDR5X-DRAM erreicht 10,7 Gbit/s

Die neuen Chips bieten bis zu 25 Prozent mehr Leistung. Samsung steigert auch die Energieeffizienz…

2 Tagen ago

Cisco warnt vor massenhaften Brute-Force-Angriffen auf VPNs

Betroffen sind Lösungen von Cisco, Fortinet, SonicWall und anderen Anbietern. Die Hacker nehmen Konten mit…

2 Tagen ago

Cybersicherheit in KMUs: Es herrscht oft Aufholbedarf

Immer häufiger müssen sich Betriebe gegen Online-Gefahren wehren. Vor allem in KMUs werden oft noch…

2 Tagen ago