英特尔承认多款处理器存安全漏洞 谷歌已着手“排雷”

每经记者 王晶 每经编辑 卢祥勇

《财富》杂志报道称，英特尔本周承认，该公司最近数年售出的PC芯片几乎全部存在多个严重的软件安全缺陷。这些安全漏洞允许黑客加载并运行未授权的程序，能够造成系统崩溃，或者是模拟系统安全核查。该漏洞主要针对企业用户。

对此，《每日经济新闻》记者于11月22日下午联系英特尔方面了解情况。英特尔相关负责人表示，PC芯片是存在安全漏洞，并不是安全缺陷。“我们发现后就跟所有设备生产商（联想、戴尔等）进行了沟通联系，告知他们要尽快升级，并提供了相关的软件升级、部件升级等。”

目前，对于PC芯片存在漏洞事件给用户和英特尔带来的影响还不明确。但记者注意到，谷歌等一些使用英特尔芯片的大型科技公司已经表示，计划关闭英特尔芯片的管理引擎，以消除安全漏洞。

多款PC芯片存安全漏洞

《财富》杂志称，这些安全漏洞主要存在于英特尔CPU上的“管理引擎”功能。

公开资料显示，管理引擎是一个独立的子系统，位于英特尔芯片组的独立微处理器上，它允许管理员远程控制从应用更新到故障排除等所有类型的功能。由于拥有对主系统处理器广泛的访问和控制权，管理引擎中的缺陷对于攻击者来说是一个很大的入口，部分人士甚至称管理引擎造成了不必要的安全隐患。

美国一位研发开发人员Matthew Garrett表示：“这个漏洞的最大威胁在于，企业环境下的黑客只需要获得一台PC设备的接入权限就可以获得大量设备的远程控制权。”

值得注意的是，这些漏洞几乎涉及所有英特尔企业版服务器芯片技术，涉及版本号为6.x、7.x、8.x、9.x、10.x、11.5、以及11.6系列的所有固件产品，也就是说，近年来英特尔出售所有具有远超控制功能的芯片都会受到影响。

《每日经济新闻》记者于11月22日下午联系英特尔方面核实并了解情况。英特尔回应称，“我们近期对英特尔管理引擎（ME）、英特尔服务器平台服务（SPS）以及英特尔可信执行引擎（TXE）固件产品进行了一次综合安全评估，并在此评估中发现了安全漏洞。这些安全漏洞有可能会影响安装有上述产品特定版本的PC、服务器和物联网平台产品。”

英特尔表示，用户应当联系PC制造商修复漏洞。“我们已经和设备制造商一起合作，通过固件升级和软件更新来解决这些安全漏洞。现在，这些升级更新已经就绪。我们谨提醒各企业、系统管理员和系统所有者，如果他们的计算机或设备采用了上述英特尔产品，应尽快与他们相应的设备制造商或供应商联系核实，并尽快安装与其相适用的升级更新。”

安全漏洞带来的影响

记者打开英特尔官网注意到，公司已经发布了一个可下载的检测工具，以便Windows和Linux管理员检查他们的系统是否已经暴露。与此同时，英特尔还提供了针对漏洞的更新或补丁的链接给用户。

不过，《财富》杂志称，目前只有联想一家PC厂商设法帮助用户进行升级，虽然其他一些PC厂商在他们的官网上也公布了修复措施，但一些受影响的芯片用在了智能联网设备上，可能从未进行过升级。

英特尔相关负责人则告诉记者，PC芯片是存在安全漏洞，并不是安全缺陷。安全漏洞是指，有可能会被攻击者利用进行安全攻击，这只是一种潜在的可能。“我们发现后就跟所有设备生产商（联想、戴尔等）进行了沟通联系，告知他们要尽快升级，并提供了相关的软件升级、部件升级等。”

目前，对于PC芯片存在漏洞事件给用户和英特尔带来的影响还不明确。

密码学工程师兼研究员Filippo Valsorda表示：“这看起来很糟糕，但我们还不清楚这些漏洞是否会被轻易利用。受影响的设备非常广泛，而不仅仅是服务器。英特尔似乎非常担心，立即就做出了反应，很快发布了检测工具。”不过，好消息是，该漏洞主要针对的用户并不是个人用户，而是企业用户。

此外，记者注意到，谷歌等一些使用英特尔芯片的大型科技公司已经表示，将计划关闭英特尔芯片的管理引擎，以消除安全漏洞。

不过，上述英特尔相关负责人表示，本次披露的PC芯片存在的安全漏洞截止目前并没有实际引起企业的损失，企业选择关闭英特尔芯片的管理引擎是企业基于自身的考虑，不会对其有太大的影响。

这并不是英特尔第一次被曝出产品存在安全漏洞问题。早在2015年，美国巴特尔纪念研究所信息安全研究员克里斯托弗.多玛斯(Christopher Domas)就在黑帽安全大会上表示，利用英特尔x86处理器存在的一个漏洞，黑客可以在计算机底层固件中安装rootkit恶意软件；而今年5月，英特尔芯片还出现了一个远程劫持漏洞，黑客利用漏洞可以获得大量计算机的控制权，并且不需要输入密码。作为全球知名的芯片生产厂商，不少用户都希望英特尔此类的安全漏洞问题尽可能少出现。