mad.de
LifeTime Premium
- Registriert
- Juni 2018
- Beiträge
- 4.292
Intel hat mehrere Lücken mit "Critical"- und "High"-Einstufung gefixt und Firmware-Updates für einige Data Center SSD-Serien bereitgestellt.
Wie einige andere Unternehmen fasst auch Intel seine monatlichen Sicherheitsupdates zu einem "Patch Tuesday"-Paket zusammen. Diesmal hat das Unternehmen insgesamt fünf Advisories veröffentlicht, von denen einige allerdings mehrere Sicherheitslücken behandeln.
Intel hat für sämtliche in den Advisories beschriebenen Lücken Firmware- beziehungsweise Microcode-Updates bereitgestellt, die die OEMs im nächsten Schritt in ihre Produkte integrieren (sollten). Es ist somit ratsam, auf den Hersteller-Websites nach den entsprechenden CVE-Nummern und Updates Ausschau zu halten. In einem Fall hat Intel allerdings auch Downloads für Endkunden aus dem Business-Bereich in Gestalt wichtiger Firmware-Updates für Data Center SSDs bereitgestellt.
Während sich die vorliegende Meldung lediglich mit Sicherheitslücken befasst, die Intel selbst als "High" bis "Critical" eingestuft hat, thematisiert eine zweite heise-online Meldung unter anderem eine im Advisory INTEL-SA-00320 beschriebene Medium-Lücke. Besondere Relevanz hat sie dennoch, da es sich hierbei offenbar um eine neue Variante des Angriffs CacheOut beziehungsweise L1D Eviction Sampling (L1DES) handelt.
Hinweise zu verfügbaren Updates
Herstellerspezifische Hinweise zu verfügbaren Updates gibt es unter anderem hier:
Critical: Active Management Technology und Standard Manageability
Als "Critical" (CVSS-Score 9.8) hat Intel diesmal zwei Sicherheitslücken eingestuft, die im IPv6-Subsystem des Fernwartungssystems AMT (Active Management Technology) sowie in der Intel Standard Manageability (ISM) stecken. Betroffen sind jeweils die Versionen 11.8.77, 11.12.77, 11.22.77 und 12.0.64. Angreifer könnten die Lücken mit den CVE-Nummern CVE-2020-0594 und CVE-2020-0595 unter bestimmten Voraussetzungen ausnutzen, um aus der Ferne ihre Zugriffsrechte zu erweitern.
Weitere Sicherheitslücken im selben Advisory betreffen die Converged Security and Management Engine (CSME), Server Platform Services (SPS), Trusted Execution Engine (TXE) sowie den Dynamic Application Loader (DAL). Acht von ihnen wurden mit dem Schweregrad "High", die übrigen mit Medium bewertet. Einige der Lücken sind aus der Ferne ausnutzbar.
Die "High"-Lücke mit dem höchsten CVSS-Score (7.9) ist CVE-2020-0527. Sie ist zwar nur lokal und durch privilegierte Nutzer ausnutzbar, ermöglicht allerdings unter Umständen unbefugte Zugriffe auf Daten (Information Disclosure). Betroffen sind laut Advisory die Data Center SSD-Serien D3-S4510, DC P4510, DC P4610, DC P4618, DC P4511, D5-P4326, D5-P4420 und D5-P4320.
Update-Empfehlungen sowie ein entsprechender Download-Link sind dem Advisory zu entnehmen.
Wie einige andere Unternehmen fasst auch Intel seine monatlichen Sicherheitsupdates zu einem "Patch Tuesday"-Paket zusammen. Diesmal hat das Unternehmen insgesamt fünf Advisories veröffentlicht, von denen einige allerdings mehrere Sicherheitslücken behandeln.
Intel hat für sämtliche in den Advisories beschriebenen Lücken Firmware- beziehungsweise Microcode-Updates bereitgestellt, die die OEMs im nächsten Schritt in ihre Produkte integrieren (sollten). Es ist somit ratsam, auf den Hersteller-Websites nach den entsprechenden CVE-Nummern und Updates Ausschau zu halten. In einem Fall hat Intel allerdings auch Downloads für Endkunden aus dem Business-Bereich in Gestalt wichtiger Firmware-Updates für Data Center SSDs bereitgestellt.
Während sich die vorliegende Meldung lediglich mit Sicherheitslücken befasst, die Intel selbst als "High" bis "Critical" eingestuft hat, thematisiert eine zweite heise-online Meldung unter anderem eine im Advisory INTEL-SA-00320 beschriebene Medium-Lücke. Besondere Relevanz hat sie dennoch, da es sich hierbei offenbar um eine neue Variante des Angriffs CacheOut beziehungsweise L1D Eviction Sampling (L1DES) handelt.
Hinweise zu verfügbaren Updates
Herstellerspezifische Hinweise zu verfügbaren Updates gibt es unter anderem hier:
- Dell: Sicherheitsratgeber und Hinweise
- HP Security Bulletin Archive
- Lenovo Security Advisory: LEN-30042
- Supermicro Security Center
Critical: Active Management Technology und Standard Manageability
Als "Critical" (CVSS-Score 9.8) hat Intel diesmal zwei Sicherheitslücken eingestuft, die im IPv6-Subsystem des Fernwartungssystems AMT (Active Management Technology) sowie in der Intel Standard Manageability (ISM) stecken. Betroffen sind jeweils die Versionen 11.8.77, 11.12.77, 11.22.77 und 12.0.64. Angreifer könnten die Lücken mit den CVE-Nummern CVE-2020-0594 und CVE-2020-0595 unter bestimmten Voraussetzungen ausnutzen, um aus der Ferne ihre Zugriffsrechte zu erweitern.
Weitere Sicherheitslücken im selben Advisory betreffen die Converged Security and Management Engine (CSME), Server Platform Services (SPS), Trusted Execution Engine (TXE) sowie den Dynamic Application Loader (DAL). Acht von ihnen wurden mit dem Schweregrad "High", die übrigen mit Medium bewertet. Einige der Lücken sind aus der Ferne ausnutzbar.
- 2020.1 IPU – Intel® CSME, SPS, TXE, AMT, ISM and DAL Advisory (INTEL-SA-00295)
Die "High"-Lücke mit dem höchsten CVSS-Score (7.9) ist CVE-2020-0527. Sie ist zwar nur lokal und durch privilegierte Nutzer ausnutzbar, ermöglicht allerdings unter Umständen unbefugte Zugriffe auf Daten (Information Disclosure). Betroffen sind laut Advisory die Data Center SSD-Serien D3-S4510, DC P4510, DC P4610, DC P4618, DC P4511, D5-P4326, D5-P4420 und D5-P4320.
Update-Empfehlungen sowie ein entsprechender Download-Link sind dem Advisory zu entnehmen.
- 2020.1 IPU – Intel® SSD Advisory (INTEL-SA-00266)
- 2020.1 IPU – BIOS Advisory (INTEL-SA-00322)
- Intel® Innovation Engine Advisory (INTEL-SA-00366)
