Ноутбуки Razer продолжают продаваться с давно известной «дырой» в безопасности

[Ippolitovich]

С 2011 года компания Razer, ранее хорошо известная своей стильной компьютерной периферией, также начала продвигать производительные игровые ноутбуки. И если с мышками и клавиатурами особых хлопот в плане заботы о безопасности нет, то с ноутбуками всё очень непросто. Оказалось, компания Razer относится к безопасности вычислительных систем, как говорится, спустя рукава. Специалистами компании Infosec было обнаружено, что серийные ноутбуки Razer подвержены хорошо и давно известной уязвимости в системе Intel Management Engine (ME), классифицированной исследователями компании Positive Technologies как CVE-2018-4251.

 

Уязвимость CVE-2018-4251 была представлена в июне 2018 года. О ней громко заговорили в связи с присутствием в ноутбуках компании Apple. Эта уязвимость эксплуатирует механизмы в IME, которые позволяют отлаживать и диагностировать процессоры Intel. Компания Intel давным-давно выпустила рекомендации OEM-производителям таким образом переписывать фирменные прошивки, чтобы после начала коммерческих поставок ноутбуков блокировать вход с использованием IME. Как оказалось, к этому требованию прислушиваются далеко не все, и «дыра» в ноутбуках Apple вызвала резонанс. Вскоре Apple выпустила исправленные прошивки и данная уязвимость на её ноутбуках закрыта.

 

Компания Razer, как сообщают исследователи, оказалась глуха и слепа не только к рекомендациям Intel, но также к прямому обращению специалистов, которые указали на присутствие уязвимости CVE-2018-4251 в её ноутбуках. Пока реакции нет даже на публикацию на сайте The Register. Между тем уязвимость CVE-2018-4251 позволяет злоумышленнику с правами администратора при кратковременном доступе к ноутбуку таким образом переписать прошивку BIOS, чтобы в ней появится зловред, который легко переживёт и перезагрузку ноутбука, и даже переформатирование жёсткого диска. Обнаружить такое ПО будет крайне трудно, тогда как злоумышленник будет пользоваться полным удалённым доступом к данным на системе.