In einem Anfang April veröffentlichten Sicherheitshinweis hat Intel vor konfigurationsbedingten Angriffsmöglichkeiten auf SPI-Flash-Chips in mehreren Chipsätzen mittels unsicherer Opcodes gewarnt. Zugleich stellte das Unternehmen auch Fixes bereit, die Lenovo nun als erster Hardware-Hersteller zu Firmware-Updates verarbeitet hat. Eine detaillierte Liste betroffener Geräte nebst Update-Links findet sich auf der Hersteller-Webseite.

Das von der Sicherheitslücke mit der Kennung CVE-2017-5703 ausgehende Risiko wurde mit einem CVSS-v3-Score von 7.9 als hoch bewertet. Eigenen Angaben zufolge hat Intel das Problem intern entdeckt. Hinweise auf aktive Exploits "in the wild" wurden bislang nicht bekannt; dennoch ist zu hoffen, dass weitere Hersteller Lenovos Beispiel zügig folgen.

Angreifer muss vor Ort sein

Im SPI-Flash-Speicher befindet sich die Firmware, auf die der Rechner während des Boot-Prozesses zugreift. Laut Lenovos Beschreibungen könnte ein Angreifer diese löschen oder auch manipulieren, um Firmware-Updates zu unterbinden oder den Boot-Vorgang komplett zu sabotieren (Denial-of-Service). Unter bestimmten, jedoch eher seltenen Umständen sei auch die Ausführung beliebigen eigenen (Schad-)Codes durch den Angreifer möglich.

Wie der Angriff im Detail abläuft, geht aus Intels Sicherheitshinweis nicht hervor; da von einem "lokalen Angreifer" die Rede ist, scheint aber physischer Zugriff auf die Hardware notwendig zu sein.

(ovw)