Intel Active Management Technology (AMT), Small Business Technology (SBT), and Standard Manageability: Rechteausweitung (CVE-2017-5689)

Was ist betroffen, was ist zu tun

Ein nicht privilegierter Netzwerkangreifer könnte Systemprivilegien auf bereitgestellten Intels Verwaltungsserien erlangen: Intel Active Management Technology (AMT) und Intel Standard Manageability (ISM). Ein nicht privilegierter lokaler Angreifer könnte Verwaltungsfunktionen bereitstellen, um unprivilegierte Netzwerk- oder lokale Systemprivilegien auf Intels Verwaltungsserien zu erlangen: Intel Active Management Technology (AMT), Intel Standard Manageability (ISM) und Intel Small Business Technology (SBT).

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Intel Active Mangement Technology, Intel Small Business Technology, Intel Standard Manageability eq fixed in versions 6.2.61.3535, 7.1.91.3272, 8.1.71.3608, 9.1.41.3024, 10.0.55.3000, 11.0.25.3001, and 11.6.27.3264 and later..fixed in versions 6.2.61.3535, 7.1.91.3272, 8.1.71.3608, 9.1.41.3024, 10.0.55.3000, 11.0.25.3001, and 11.6.27.3264 and later

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: Intel hat Firmware-Updates für AMT/ISM/SBT veröffentlicht. Betroffene Firmware-Versionen: 6.x, 7.x, 8.x, 9.x, 10.x, 11.0–11.6. Ziel-Versionen laut Intel-Advisory INTEL-SA-00075 sind 6.2.61.3535, 8.1.71.3608, 9.1.41.3024, 9.5.61.3012, 10.0.55.3000, 11.6.27.3264 (oder höher). Firmware-Update über OEM-Kanal (Dell, HP, Lenovo usw.) beziehen — nicht direkt von Intel.
   • AMT-Dienst sofort deaktivieren/blockieren: TCP-Port 16992 (HTTP) und 16993 (HTTPS) an der Perimeter-Firewall und auf Host-Firewalls sperren, solange kein Patch eingespielt ist. Zusätzlich Port 16994/16995 (SOL/IDER) und 623/664 (IPMI-ähnlich) blockieren.
   • Bestandsaufnahme aller AMT-fähigen Systeme: Inventar aller Intel-vPro-Systeme (Core i5/i7/i9 vPro, Xeon E3 mit AMT) erstellen. Prüfen, ob AMT provisioniert ist — unprovisioned SKUs (Intel SBT) sind ebenfalls betroffen.
   • Netzwerksegmentierung: AMT-Management-Traffic in ein dediziertes Management-VLAN isolieren; Zugriff nur von autorisierten Management-Workstations erlauben. Kein direkter Internetzugang für AMT-Ports.
   • Lokale Provisionierung unterbinden: Lokale USB-Provisionierung (USB Key Provisioning) deaktivieren, sofern im BIOS/MEBx konfigurierbar. MEBx-Passwort von Standardwert „admin" ändern, falls noch nicht geschehen.
   • Incident-Triage: Logs des AMT-Webinterfaces (Port 16992/16993) auf unauthentifizierte Zugriffe der letzten 90 Tage prüfen; bei Fund sofort Incident-Response-Prozess einleiten.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerk-Ebene: Snort/Suricata-Regel auf HTTP-Requests an Port 16992/16993 mit leerem oder manipuliertem Authorization-Header: alert tcp any any -> $HOME_NET 16992:16993 (msg:"CVE-2017-5689 AMT Auth Bypass Attempt"; content:"Authorization|3a|"; pcre:"/Authorization:\s*(Digest\s+[^,\n]{0,30})?(\r\n|\n)/i"; sid:2017568901; rev:1;). Alternativ: Gesamten Traffic zu diesen Ports am IPS droppen, bis Patch eingespielt ist.
   • WAF/Reverse-Proxy: Falls AMT-Webinterface intern über Proxy erreichbar ist, WAF-Regel einrichten, die Requests mit fehlendem oder leerem Authorization-Header zu /index.htm und /logon.htm blockiert.
   • Endpoint-Härtung: Intel MEBx-Zugang im BIOS mit starkem Passwort sichern; AMT in MEBx vollständig deaktivieren (Manageability Feature Selection → Disabled), wenn Remote-Management nicht benötigt wird. Änderung erfordert physischen Zugang oder BIOS-Fernverwaltung über bestehende sichere Kanäle.
   • IAM/Least Privilege: Sicherstellen, dass AMT-Konten (Standard: „admin") mit starken, einzigartigen Passwörtern versehen sind. AMT-Konten nicht mit AD-Konten synchronisieren, solange Patch fehlt.
   • Konfigurationskontrolle: Intel CSME System Tools (MEInfo) einsetzen, um Provisionierungsstatus aller Systeme zu prüfen (MEInfo.exe -verbose | findstr "Provisioning"). Unprovisioned-Systeme haben geringeres Risiko für Remote-Angriff, aber lokale Provisionierung bleibt möglich.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Netzwerk-Telemetrie (Zeek/Suricata): Verbindungen zu Port 16992 oder 16993 von Quellen außerhalb des Management-VLANs — insbesondere mit HTTP 200-Antwort ohne vorangehenden vollständigen Auth-Handshake — als hochprioritären Alert behandeln. KQL: NetworkEvents | where DestinationPort in (16992, 16993) and not SourceIP in (management_vlan_range).
   • Webserver-Zugriffslog (AMT-Webinterface): HTTP-Requests auf /index.htm oder /logon.htm mit leerem Authorization-Header oder ohne Authorization-Header, gefolgt von HTTP-Statuscode 200 — dies ist das Kernsignal für erfolgreiche Ausnutzung.
   • Windows Event Log / EDR: Prozessstart von LMS.exe (Intel Local Manageability Service) mit ungewöhnlichen Kindprozessen oder Netzwerkverbindungen zu externen IPs — Sysmon Event ID 3 (Netzwerkverbindung) von LMS.exe zu nicht-lokalen Adressen.
   • Sigma-Regel (Netzwerk): title: CVE-2017-5689 AMT Auth Bypass | logsource: category: proxy | detection: selection: cs-uri-path|contains: ['/index.htm', '/logon.htm'] cs-host|contains: ':16992' http_status: 200 condition: selection | falsepositives: Legitimate AMT admin access | level: critical
   • Konfigurationsmonitoring: Änderungen am MEBx-Provisionierungsstatus (z. B. via Intel SCS oder SCCM AMT-Plugin) — unerwartete Provisionierungsereignisse auf Systemen, die zuvor als „unprovisioned" geführt wurden, sind Indikator für lokale Ausnutzung.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein nicht privilegierter Netzwerkangreifer könnte Systemprivilegien auf bereitgestellten Intels Verwaltungsserien erlangen: Intel Active Management Technology (AMT) und Intel Standard Manageability (ISM). Ein nicht privilegierter lokaler Angreifer könnte Verwaltungsfunktionen bereitstellen, um unprivilegierte Netzwerk- oder lokale Systemprivilegien auf Intels Verwaltungsserien zu erlangen: Intel Active Management Technology (AMT), Intel Standard Manageability (ISM) und Intel Small Business Technology (SBT).

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Quellen & Referenzen

• tenable.comblog/rediscovering-the-intel-amt-vulnerabilityx_refsource_MISC, Technische Beschreibung, Hinweis Dritter
• downloadmirror.intel.com26754/eng/INTEL-SA-00075 Mitigation Guide-Rev 1.1.pdfx_refsource_CONFIRM, Link defekt
• securityfocus.com98269Schwachstellendatenbank, x_refsource_BID, Link defekt, Hinweis Dritter, Schwachstellendatenbank
• securitytracker.com1038385Schwachstellendatenbank, x_refsource_SECTRACK, Link defekt, Hinweis Dritter, Schwachstellendatenbank
• security.netapp.comadvisory/ntap-20170509-0001x_refsource_CONFIRM, Hinweis Dritter
• embedi.comfiles/white-papers/Silent-Bob-is-Silent.pdfx_refsource_MISC, Link defekt, Exploit, Technische Beschreibung, Hinweis Dritter
• security-center.intel.comadvisory.aspx?intelid=INTEL-SA-00075&languageid=en-frx_refsource_CONFIRM, Patch, Herstellerhinweis
• h20566.www2.hpe.comhpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf037…x_refsource_CONFIRM, Hinweis Dritter
• oracle.comtechnetwork/security-advisory/cpujul2017-3236622.htmlx_refsource_CONFIRM, Patch, Hinweis Dritter
• embedi.comnews/mythbusters-cve-2017-5689x_refsource_MISC, Link defekt, Hinweis Dritter
• Siemens ProductCERTproductcert/pdf/ssa-874235.pdfx_refsource_CONFIRM, Hinweis Dritter
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2017-5689government-resource, US-Behörde

Verknüpfte Advisories

• SSA-874235 (Last Update: 2020-02-10): Intel Vulnerability in Siemens Industrial ProductsSiemens ProductCERT