CVE-2017-5689

Falha de bypass de autenticação na interface de gerenciamento do Intel AMT/ISM/SBT (firmware do Management Engine, não do sistema operacional) que permite a um atacante de rede sem credenciais obter controle administrativo total sobre a plataforma. O impacto é grave porque AMT roda abaixo do SO, com acesso a KVM remoto, mídia virtual (IDE-R) e console serial (SOL) — mas a explosão remota só se aplica a máquinas onde o AMT já foi provisionado, o que reduz bastante a superfície real fora de ambientes corporativos com vPro habilitado.

A causa é uma falha lógica na implementação do esquema de autenticação HTTP Digest usado pela interface web do AMT (porta 16992/16993) e por outros serviços de gerenciamento (SOL/IDE-R, portas 623/664). Segundo a análise pública mais detalhada do mecanismo (Tenable, replicando o achado original da Embedi/Maksim Malyutin), a rotina de comparação do hash de resposta ('response') enviado no cabeçalho Authorization aceitava valores truncados — inclusive uma string vazia — como credencial válida. Ou seja, o servidor comparava o hash fornecido pelo atacante contra o hash correto usando um comprimento controlado pelo próprio atacante, um padrão clássico de comparação insegura (CWE-287/CWE-697, análogo a memcmp com tamanho controlado pelo atacante).

Na prática, um atacante que enviasse uma requisição de autenticação com o campo response vazio ou com um único dígito hexadecimal era autenticado como usuário 'admin', sem precisar da senha real de provisionamento. Não é uma falha de execução remota de código nem overflow — a própria Embedi caracteriza como 'não é RCE, é uma vulnerabilidade lógica' — mas o resultado prático (sessão administrativa completa na interface de gerenciamento) equivale a controle total da plataforma, já que o AMT expõe funções de reinicialização, montagem de mídia virtual e KVM remoto.

A descrição oficial da Intel separa dois cenários de ataque: (1) atacante de rede sem privilégios contra SKUs já provisionados (AMT e ISM); e (2) atacante local sem privilégios que consegue provisionar os recursos de gerenciamento (em AMT, ISM e também SBT), obtendo depois privilégios de rede ou locais. O segundo vetor é relevante porque, mesmo em máquinas 'não configuradas' para gerenciamento remoto, um atacante com acesso físico/local pode ativar o provisionamento e abrir a porta para o primeiro vetor.

O vetor de maior impacto (CVSS 9.8, AV:N/PR:N/UI:N) exige que o AMT/ISM já esteja provisionado — isto é, que alguém tenha configurado o Management Engine com uma senha de administrador e habilitado a interface de gerenciamento remoto. Isso é comum em frotas corporativas com chipsets vPro geridas centralmente, mas ausente na maioria de notebooks e desktops de consumidor, onde o AMT normalmente permanece em estado de fábrica (não provisionado). Nesse cenário provisionado, basta acesso de rede às portas do serviço de gerenciamento (16992 HTTP, 16993 HTTPS, e as portas de redirecionamento SOL/IDE-R, 623/664) para enviar uma requisição de autenticação HTTP Digest manipulada e obter sessão administrativa completa, sem qualquer interação do usuário da máquina-alvo.

A exploração é trivial em termos de complexidade técnica: consiste em interceptar/forjar o cabeçalho Authorization e substituir o campo de resposta do hash por uma string vazia ou truncada. Não exige engenharia reversa de firmware nem conhecimento de credenciais — é um bypass direto do controle de acesso. Isso explica a existência de módulo Metasploit, template Nuclei e PoCs públicas amplamente disponíveis pouco depois da divulgação em 2017.

A CISA incluiu a CVE no catálogo KEV (adicionada em 2022, com prazo de correção 2022-07-28), confirmando exploração ativa observada em campo, embora não haja indicação de uso massivo em campanhas de ransomware. O ganho final para o atacante é controle da camada de gerenciamento fora de banda: reboot remoto, montagem de imagem de disco arbitrária via IDE-R, acesso a console serial (SOL) e, dependendo da configuração, KVM remoto — capacidades que sobrevivem à reinstalação do SO e não dependem do sistema operacional estar ligado.

A correção definitiva depende de atualização de firmware/BIOS fornecida pelo fabricante do equipamento (OEM), já que o AMT roda no Management Engine embutido na placa-mãe — não há um pacote único da Intel instalável diretamente pelo usuário final na maioria dos casos. A Intel publicou um guia de mitigação (INTEL-SA-00075 Mitigation Guide) com uma ferramenta de detecção/correção e orientações por fabricante; o passo prático é identificar a versão de firmware AMT/ISM/SBT em uso (via ferramenta Intel ou MEBx) e aplicar a atualização de BIOS/firmware correspondente disponibilizada pelo fabricante do hardware.

Quando a atualização de firmware não estiver disponível (comum em hardware fora de suporte do OEM), os paliativos reais são: desprovisionar o AMT/ISM/SBT se não estiver em uso administrativo ativo (remove a superfície de ataque do vetor de rede provisionado); desabilitar o AMT/ME no BIOS/MEBx quando o recurso não for necessário; e bloquear no perímetro e na rede interna o acesso às portas de gerenciamento (16992, 16993, 623, 664) para qualquer origem que não seja a estação de gerenciamento autorizada. Nenhum desses paliativos corrige a falha lógica em si — apenas reduz ou elimina a exposição da interface vulnerável.

O que não funciona como mitigação: trocar a senha de provisionamento do AMT não resolve nada, porque a falha é um bypass completo da verificação de senha — o atacante nunca precisa acender a credencial correta. Do mesmo modo, atualizações do sistema operacional ou antivírus não têm efeito, já que o componente vulnerável fica fora do alcance do SO.

Em nível de rede, o sinal a procurar é tráfego de autenticação HTTP Digest contra as portas 16992/16993 (interface web AMT) ou 623/664 (SOL/IDE-R) contendo o campo 'response' do cabeçalho Authorization vazio, truncado ou anormalmente curto — esse é o padrão de exploração descrito pelos pesquisadores. A Tenable publicou um plugin Nessus (97999) especificamente para detectar exposição a essa falha, recomendando varredura ativa dessas portas já que elas não ficam visíveis para enumeração local feita pelo sistema operacional (o AMT opera fora de banda). Não há um log confiável do lado do sistema operacional, porque o AMT/ME é independente do SO — a visibilidade depende de captura de tráfego de rede ou de scanners voltados especificamente às portas de gerenciamento.