beveiligingslek in Intelprocessoren

[HWE64]

Ik heb op Tweakers gekezen dat er een beveiligingslek opgetreden is in sommigen Intel processorenhttps://downloadcenter.intel.com/download/27150. De fabrikanten van de hardware moet dit repareren d.m.v update's. Nu heeft Lenovo dit al gedaan en andere zullen volgen. Mijn vraag is Hoe gaat dit onder Linux als je b.v. een Toshiba pc hebt ( mijne is denk ik al te oud (3,5j))

[VuurVosje]

Voordat iedereen in paniek raakt is het wellicht handig om iets meer info te geven.
Daarmee is waarschijnlijk je vraag ook meteen beantwoord... 

Core-processors vanaf de Skylake-generatie zijn getroffen, samen met Xeon-, Atom- en Celeron-cpu's.

Affected products:

    6th, 7th & 8th Generation Intel® Core™ Processor Family
    Intel® Xeon® Processor E3-1200 v5 & v6 Product Family
    Intel® Xeon® Processor Scalable Family
    Intel® Xeon® Processor W Family
    Intel® Atom® C3000 Processor Family
    Apollo Lake Intel® Atom Processor E3900 series
    Apollo Lake Intel® Pentium™
    Celeron™ N and J series Processors

https://tweakers.net/nieuws/132051/intel-patcht-lekken-in-management-engine-op-verschillende-processors.html
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr
https://ark.intel.com/products/codename/37572/Skylake


Overigens ben ik bang dat we in de toekomst wel vaker te maken krijgen met 'Minix-problemen'... 

[HWE64]

Voordat iedereen in paniek raakt is het wellicht handig om iets meer info te geven.
Daarmee is waarschijnlijk je vraag ook meteen beantwoord... 

Core-processors vanaf de Skylake-generatie zijn getroffen, samen met Xeon-, Atom- en Celeron-cpu's.

Affected products:

    6th, 7th & 8th Generation Intel® Core™ Processor Family
    Intel® Xeon® Processor E3-1200 v5 & v6 Product Family
    Intel® Xeon® Processor Scalable Family
    Intel® Xeon® Processor W Family
    Intel® Atom® C3000 Processor Family
    Apollo Lake Intel® Atom Processor E3900 series
    Apollo Lake Intel® Pentium™
    Celeron™ N and J series Processors

https://tweakers.net/nieuws/132051/intel-patcht-lekken-in-management-engine-op-verschillende-processors.html
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr
https://ark.intel.com/products/codename/37572/Skylake


Overigens ben ik bang dat we in de toekomst wel vaker te maken krijgen met 'Minix-problemen'... 

Ik kom niet in paniek maar mijn vraag als je als Linux gebruiker in de gevaren zone zit hoe krijg je dan van de fabrikant een update?

Code: [Selecteer]

henk@SATELLITE-C855-22E:~$ inxi -Fxz
System:    Host: SATELLITE-C855-22E Kernel: 4.4.0-98-generic x86_64 (64 bit gcc: 5.4.0)
           Desktop: Xfce 4.12.3 (Gtk 2.24.28) Distro: Ubuntu 16.04 xenial
Machine:   System: TOSHIBA (portable) product: SATELLITE C855-22E v: PSCBYE-04P00NDU
           Mobo: Intel model: PLCSF8 v: Type2 - Board Version Bios: Insyde v: 6.80 date: 10/01/2013
CPU:       Dual core Intel Core i5-3230M (-HT-MCP-) cache: 3072 KB
           flags: (lm nx sse sse2 sse3 sse4_1 sse4_2 ssse3 vmx) bmips: 10376
           clock speeds: max: 3200 MHz 1: 1541 MHz 2: 1745 MHz 3: 1227 MHz 4: 1213 MHz
Graphics:  Card: Advanced Micro Devices [AMD/ATI] Whistler LE [Radeon HD 6610M/7610M] bus-ID: 01:00.0
           Display Server: X.Org 1.18.4 drivers: ati,radeon (unloaded: fbdev,vesa) Resolution: 1366x768@60.02hz
           GLX Renderer: Gallium 0.4 on AMD TURKS (DRM 2.43.0 / 4.4.0-98-generic, LLVM 4.0.0)
           GLX Version: 3.0 Mesa 17.0.7 Direct Rendering: Yes
Audio:     Card-1 Intel 7 Series/C210 Series Family High Definition Audio Controller
           driver: snd_hda_intel bus-ID: 00:1b.0
           Card-2 Advanced Micro Devices [AMD/ATI] Turks/Whistler HDMI Audio [Radeon HD 6000 Series]
           driver: snd_hda_intel bus-ID: 01:00.1
           Sound: Advanced Linux Sound Architecture v: k4.4.0-98-generic
Network:   Card-1: Realtek RTL8723AE PCIe Wireless Network Adapter driver: rtl8723ae port: 3000 bus-ID: 08:00.0
           IF: wlp8s0 state: up mac: <filter>
           Card-2: Realtek RTL8101/2/6E PCI Express Fast/Gigabit Ethernet controller
           driver: r8169 v: 2.3LK-NAPI port: 2000 bus-ID: 09:00.0
           IF: enp9s0 state: down mac: <filter>
Drives:    HDD Total Size: 640.1GB (4.8% used) ID-1: /dev/sda model: Hitachi_HTS54756 size: 640.1GB
Partition: ID-1: / size: 530G used: 20G (4%) fs: ext4 dev: /dev/sda1
           ID-2: swap-1 size: 10.00GB used: 0.00GB (0%) fs: swap dev: /dev/sda2
RAID:      No RAID devices: /proc/mdstat, md_mod kernel module present
Sensors:   System Temperatures: cpu: 56.0C mobo: N/A gpu: 45.5
           Fan Speeds (in rpm): cpu: N/A
Info:      Processes: 191 Uptime: 9 min Memory: 965.8/7934.6MB Init: systemd runlevel: 5 Gcc sys: 5.4.0
           Client: Shell (bash 4.3.481) inxi: 2.2.35


[VuurVosje]

Ik kom niet in paniek maar mijn vraag als je als Linux gebruiker in de gevaren zone zit hoe krijg je dan van de fabrikant een update?

Ik zeg ook niet dat jij in paniek bent; maar wil slechts voorkomen dat anderen dat wel raken obv halve info. 

Dual core Intel Core i5-3230M

Zie links; is niet getroffen.
https://en.wikipedia.org/wiki/Intel_Core

[HWE64]

Dual core Intel Core i5-3230M

Zie links; is niet getroffen.
https://en.wikipedia.org/wiki/Intel_Core

@vuurvosje, Thx.Deze pentium is van, ik dacht van 2009 met processor Q9400?

Code: [Selecteer]

hwe64@desktop:~$ inxi -Fxz
System:    Host: desktop Kernel: 4.4.0-81-generic x86_64 (64 bit gcc: 5.4.0) Desktop: Xfce 4.12.3 (Gtk 2.24.28)
           Distro: Ubuntu 16.04 xenial
Machine:   Mobo: ASUSTeK model: P5Q SE2 v: Rev X.0x Bios: American Megatrends v: 0601 date: 04/29/2009
CPU:       Quad core Intel Core2 Quad Q9400 (-MCP-) cache: 3072 KB
           flags: (lm nx sse sse2 sse3 sse4_1 ssse3 vmx) bmips: 21404
           clock speeds: max: 2670 MHz 1: 2003 MHz 2: 2003 MHz 3: 2003 MHz 4: 2003 MHz
Graphics:  Card: NVIDIA GT215 [GeForce GT 240] bus-ID: 01:00.0
           Display Server: X.Org 1.18.4 drivers: nouveau (unloaded: fbdev,vesa) Resolution: 1920x1080@60.00hz
           GLX Renderer: Gallium 0.4 on NVA3 GLX Version: 3.0 Mesa 17.0.7 Direct Rendering: Yes
Audio:     Card-1 NVIDIA High Definition Audio Controller driver: snd_hda_intel bus-ID: 01:00.1
           Card-2 Intel 82801JI (ICH10 Family) HD Audio Controller driver: snd_hda_intel bus-ID: 00:1b.0
           Sound: Advanced Linux Sound Architecture v: k4.4.0-81-generic
Network:   Card: Realtek RTL8111/8168/8411 PCI Express Gigabit Ethernet Controller
           driver: r8169 v: 2.3LK-NAPI port: d800 bus-ID: 02:00.0
           IF: enp2s0 state: up speed: 100 Mbps duplex: full mac: <filter>
Drives:    HDD Total Size: 740.2GB (8.5% used) ID-1: /dev/sda model: ADATA_SP550 size: 240.1GB
           ID-2: /dev/sdb model: SAMSUNG_HD502HJ size: 500.1GB
Partition: ID-1: / size: 413G used: 15G (4%) fs: ext4 dev: /dev/sdb1
           ID-2: swap-1 size: 50.00GB used: 0.00GB (0%) fs: swap dev: /dev/sdb5
RAID:      No RAID devices: /proc/mdstat, md_mod kernel module present
Sensors:   System Temperatures: cpu: 16.5C mobo: 17.0C gpu: 31.0
           Fan Speeds (in rpm): cpu: 2008 psu: 0 sys-1: 0
Info:      Processes: 207 Uptime: 3 min Memory: 786.8/3951.0MB Init: systemd runlevel: 5 Gcc sys: 5.4.0
           Client: Shell (bash 4.3.481) inxi: 2.2.35


[VuurVosje]

Q9400 is ook niet getroffen
Kort door de bocht vuistregel: pas vanaf 2015 risico.

[MKe]

Ze hebben een (python2) scriptje om te zien of je kwetsbaar bent.

Download het vanaf intel: https://downloadcenter.intel.com/download/27150

Je krijgt dan een bestand genaamd SA00086_Linux.tar.gz

Vervolgens:

Code: [Selecteer]

$ tar -xvf SA00086_Linux.tar.gz

$ sudo python2 ./intel_sa00086.py

Ik krijg dan:

Code: [Selecteer]

INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-22 15:03:11 GMT

*** Host Computer Information ***
Name: nerdy-linux
Manufacturer: ASUSTeK COMPUTER INC.
Model: X555LD
Processor Name: Intel(R) Core(TM) i5-4210U CPU @ 1.70GHz
OS Version:    (4.4.99-1-MANJARO)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 9.5.15.1730
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr


[HWE64]

Ze hebben een (python2) scriptje om te zien of je kwetsbaar bent.

Download het vanaf intel: https://downloadcenter.intel.com/download/27150

Je krijgt dan een bestand genaamd SA00086_Linux.tar.gz

Vervolgens:

Code: [Selecteer]

$ tar -xvf SA00086_Linux.tar.gz

$ sudo python2 ./intel_sa00086.py

Ik krijg dan:

Code: [Selecteer]

INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-22 15:03:11 GMT

*** Host Computer Information ***
Name: nerdy-linux
Manufacturer: ASUSTeK COMPUTER INC.
Model: X555LD
Processor Name: Intel(R) Core(TM) i5-4210U CPU @ 1.70GHz
OS Version:    (4.4.99-1-MANJARO)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 9.5.15.1730
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr


Ik heb die map gedownload en moet ik die uitpakken?

[Tom]

Zie bijlagen:

[HWE64]

Zie bijlagen:

Dus Tom, beter niet testen?

[MKe]

Dat is toch precies wat het doet? Een 'risk assessment' van het systeem? Wat is daar mis mee?

[MKe]

Ze hebben een (python2) scriptje om te zien of je kwetsbaar bent.

Download het vanaf intel: https://downloadcenter.intel.com/download/27150

Je krijgt dan een bestand genaamd SA00086_Linux.tar.gz

Vervolgens:

Code: [Selecteer]

$ tar -xvf SA00086_Linux.tar.gz

$ sudo python2 ./intel_sa00086.py

Ik krijg dan:

Code: [Selecteer]

INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-22 15:03:11 GMT

*** Host Computer Information ***
Name: nerdy-linux
Manufacturer: ASUSTeK COMPUTER INC.
Model: X555LD
Processor Name: Intel(R) Core(TM) i5-4210U CPU @ 1.70GHz
OS Version:    (4.4.99-1-MANJARO)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 9.5.15.1730
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr


Ik heb die map gedownload en moet ik die uitpakken?

Ja, met de commandline, zie de 'tar' regel.

[HWE64]

@MKE, ik weet niet wat ik fout doe?

[MKe]

Dat gaat fout bij het uitpakken. Zit je wel in de juiste map?

[HWE64]

Dat gaat fout bij het uitpakken. Zit je wel in de juiste map?

Ik denk dat ik in Linux nog veel moet leren. Dit staat in downloads. Wat nu??


Edit: Op internet nog even gezocht maar wat doet die z in de commando line

Code: [Selecteer]

TAR.GZ uitpakken onder Linux
Ga naar de Terminal (meestal via Applications > Accessories > Terminal) en typ in:
tar -zxvf mijnbestand.tar.gz
Inhoud van een TAR.GZ bekijken onder Linux
Open de Terminal en typ in:
tar -tzvf mijnbestand.tar.gz

[koos4401]

Edit: Op internet nog even gezocht maar wat doet die z in de commando line

Dit soort vragen worden (vaak) beantwoord in de 'handleiding' van het commando door:  man <commando>. Hier dus: man tar
Edit koos4401: vwb jouw vraag: "unzip". [End edit]

[Nero]

Code: [Selecteer]

nero@dell-3551:~$ ./intel_sa00086.py
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-23 08:47:44 GMT

*** Host Computer Information ***
Name: dell-3551
Manufacturer: Dell Inc.
Model: Inspiron 3551
Processor Name: Intel(R) Celeron(R) CPU  N2840  @ 2.16GHz
OS Version: debian buster/sid  (4.13.0-1-amd64)

*** Risk Assessment ***
Detection Error: This system may be vulnerable, please install the Intel(R) MEI/TXEI driver (available from your system manufacturer).

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr
Ik heb overigens het script gestart zonder sudo en zonder expliciet de python interpreter te gebruiken.

[MKe]

In manjaro is de default python interpreter python3, vandaar dat ik het expliciet gebruik. Wel vreemd dat jij zonder sudo het kan runnen, bij mij doet hij:

Code: [Selecteer]

$ ./intel_sa00086.py                                                                                                                                                                                                                                     
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-23 10:04:45 GMT

*** Host Computer Information ***
Name: nlfij-s3003
Manufacturer: Hewlett-Packard
Model: HP Z230 SFF Workstation
Processor Name: Intel(R) Xeon(R) CPU E3-1246 v3 @ 3.50GHz
OS Version: Ubuntu 14.04 trusty (3.16.0-77-generic)

This tool needs elevated privileges to run.

*** Risk Assessment ***
Detection Error: This system may be vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr



[MKe]

Dat gaat fout bij het uitpakken. Zit je wel in de juiste map?

Ik denk dat ik in Linux nog veel moet leren. Dit staat in downloads. Wat nu??


Edit: Op internet nog even gezocht maar wat doet die z in de commando line

Code: [Selecteer]

TAR.GZ uitpakken onder Linux
Ga naar de Terminal (meestal via Applications > Accessories > Terminal) en typ in:
tar -zxvf mijnbestand.tar.gz
Inhoud van een TAR.GZ bekijken onder Linux
Open de Terminal en typ in:
tar -tzvf mijnbestand.tar.gz

Ik doe het volgende. Eerst download ik het bestand naar Downloads. Dan druk ik ctrl+alt+t om in de terminal te komen. Ik heb hieronder een afdruk van de output in mijn terminal gezet, je ziet de commando's en hun output.:

Code: [Selecteer]

mke@nerdy-linux:~$ cd ~/Downloads
mke@nerdy-linux:~/Downloads$ tar -xvf SA00086_Linux.tar.gz                                                                                                                                                                                                                 
documents/
documents/INTEL-SA-00086 Detection Tool License Agreement.rtf
documents/Intel-SA-00086_Detection_UG.pdf
documents/MIT license for Command Line Parser Library.txt
glob.py
heci.py
intel_sa00086.py
mei/
mei/fwu.py
mei/debugfs.py
mei/__init__.py
mei/mkhi.py
messages.py
output/
output/screen.py
output/log.py
output/__init__.py
output/xml.py
spsInfoLinux64
spsInfoLinux64_3
sps.py
mke@nerdy-linux:~/Downloads$ sudo python2 intel_sa00086.py
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-23 10:05:04 GMT

*** Host Computer Information ***
Name: nlfij-s3003
Manufacturer: Hewlett-Packard
Model: HP Z230 SFF Workstation
Processor Name: Intel(R) Xeon(R) CPU E3-1246 v3 @ 3.50GHz
OS Version: Ubuntu 14.04 trusty (3.16.0-77-generic)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 9.1.25.1005
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr

mke@nerdy-linux:~/Downloads$

[Pjotr]

Je moet de opdracht altijd uitvoeren met sudo:

Code: [Selecteer]

sudo ./intel_sa00086.py
1. Zonder sudo:

pjotr@MD99587 ~/Downloads/intel $ ./intel_sa00086.py
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-23 10:05:03 GMT

*** Host Computer Information ***
Name: MD99587
Manufacturer: MEDION
Model: E4213 MD99587
Processor Name: Intel(R) Celeron(R) CPU  N2840  @ 2.16GHz
OS Version: LinuxMint 18.3 sylvia (4.11.0-14-generic)

This tool needs elevated privileges to run.

*** Risk Assessment ***
Detection Error: This system may be vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr

2. Met sudo:

pjotr@MD99587 ~/Downloads/intel $ sudo ./intel_sa00086.py
[sudo] wachtwoord voor pjotr:
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-11-23 10:05:37 GMT

*** Host Computer Information ***
Name: MD99587
Manufacturer: MEDION
Model: E4213 MD99587
Processor Name: Intel(R) Celeron(R) CPU  N2840  @ 2.16GHz
OS Version: LinuxMint 18.3 sylvia (4.11.0-14-generic)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 1.1.2.1120
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr

[Nero]

Met of zonder root rechten geeft bij mij exact hetzelfde resultaat (Debian buster).

[MKe]

Met of zonder root rechten geeft bij mij exact hetzelfde resultaat (Debian buster).

Is jouw account dan een root account?

[HWE64]

@MKE, het is eindelijk gelukt.

Code: [Selecteer]

*** Host Computer Information ***
Name: SATELLITE-C855-22E
Manufacturer: TOSHIBA
Model: SATELLITE C855-22E
Processor Name: Intel(R) Core(TM) i5-3230M CPU @ 2.60GHz
OS Version: Ubuntu 16.04 xenial (4.4.0-101-generic)

*** Intel(R) ME Information ***
Engine: Intel(R) Management Engine
Version: 8.1.0.1248
SVN: 0

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr
Hoe kom ik weer in mijn startpunt in de terminal Is dat  $ cd home   of   cd/      ?? Want ik zit nog steeds in "Downloads".

[MKe]

Nee, de shortcut voor home in linux is de tilde ('~'), dus terug naar home is een van de volgende:

Code: [Selecteer]

$ cd ~ # ga naar home
$ cd .. # ga een niveau omhoog
$ cd /home/mke # dit geldt voor mij, mke is mijn usernaam

De tekst erachter met de '#' ervoor is commentaar, die heb je niet nodig, is slechts ter verduidelijking.

Met 'cd /' ga je overigens naar de root van je schijf, geen goed idee. Je mag daar gelukkig niets.

[HWE64]

Nee, de shortcut voor home in linux is de tilde ('~'), dus terug naar home is een van de volgende:

Code: [Selecteer]

$ cd ~ # ga naar home
$ cd .. # ga een niveau omhoog
$ cd /home/mke # dit geldt voor mij, mke is mijn usernaam

De tekst erachter met de '#' ervoor is commentaar, die heb je niet nodig, is slechts ter verduidelijking.

Met 'cd /' ga je overigens naar de root van je schijf, geen goed idee. Je mag daar gelukkig niets.

Ik was al bezig. Gekeken op internet. http://nl.flossmanuals.net/Linux/Introduction Ik weet niet of ik nu goed sta?? Ik persoonlijk dacht van wel??

Code: [Selecteer]

henk@SATELLITE-C855-22E:~/Downloads$ cd /
henk@SATELLITE-C855-22E:/$ cd
henk@SATELLITE-C855-22E:~$
Heel in het begin heb ik nog wel eens met Dos commando's gewerkt maar dat is al een hele tijd geleden op mijn Laser 286.