Las grandes compañías empiezan a lanzar comunicados sobre la vulnerabilidad de los procesadores x86, que según Google y Microsoft, no afecta solo a los procesadores de Intel, sino también a los de AMD y ARM.
Anoche, a última hora nos hacíamos eco de la nota publicada por parte de Intel sobre la brecha de seguridad detectada en sus procesadores. Son más las compañías que están publicando notas de prensas sobre esta vulnerabilidad, detectada por investigadores de Google y que reciben el nombre de Meltdown y Spectre. El parche de seguridad tendría que haber salido el 9 de enero, pero dadas las circunstancias, los investigadores lo han sacado todo a la luz y las empresas que están involucradas en esto ya se han empezado a pronunciar al respecto.
Índice de contenido
El investigador del Project Zero, Jann Horn, demostró que los actores malintencionados podían aprovechar la ejecución especulativa para leer la memoria del sistema que debería haber sido inaccesible. Por ejemplo, una parte no autorizada puede leer información confidencial en la memoria del sistema, como contraseñas, claves de cifrado o información confidencial abierta en las aplicaciones. Las pruebas también mostraron que un ataque que se ejecutaba en una máquina virtual podía acceder a la memoria física de la máquina host y, a través de eso, obtener acceso de lectura a la memoria de una máquina virtual diferente en el mismo host.
Estas vulnerabilidades afectan a muchas CPU, incluidas las de AMD, ARM e Intel, así como a los dispositivos y sistemas operativos que las ejecutan.
Tan pronto como nos enteramos de esta nueva clase de ataque, nuestros equipos de seguridad y desarrollo de productos se movilizaron para defender los sistemas de Google y los datos de nuestros usuarios. Hemos actualizado nuestros sistemas y productos afectados para protegernos contra este nuevo tipo de ataque. También colaboramos con fabricantes de hardware y software de la industria para ayudar a proteger a sus usuarios y a la web en general. Estos esfuerzos han incluido el análisis colaborativo y el desarrollo de nuevas mitigaciones.
Estamos publicando antes de una fecha de divulgación originalmente coordinada del 9 de enero de 2018 debido a los informes públicos existentes y la creciente especulación en la prensa y la comunidad de investigación de seguridad sobre el tema, lo que aumenta el riesgo de explotación. El informe completo del Project Zero está disponible.
AMD
Hoy se especula mucho sobre un posible problema de seguridad relacionado con los microprocesadores modernos y la ejecución especulativa. Como solemos hacer cuando se identifica un posible problema de seguridad, AMD ha estado trabajando en todo nuestro ecosistema para evaluar y responder al ataque de ejecución especulativa identificado por un equipo de investigación de seguridad para garantizar que nuestros usuarios estén protegidos.
Para ser claros, el equipo de investigación de seguridad identificó tres variantes dirigidas a la ejecución especulativa. La amenaza y la respuesta a las tres variantes difieren según la compañía del microprocesador, y AMD no es susceptible a las tres variantes. Debido a las diferencias en la arquitectura de AMD, creemos que hay un riesgo cercano a cero para los procesadores de AMD en este momento. Esperamos que la investigación de seguridad se publique más tarde y proporcionará más actualizaciones en ese momento.
ARM
Este método requiere malware que se ejecute localmente y podría dar como resultado el acceso a datos desde la memoria con privilegios. Nuestros procesadores Cortex-M, que están presentes en dispositivos de IoT conectados de baja potencia, no se ven afectados.
MICROSOFT
Somos conscientes de este problema en toda la industria y hemos estado trabajando estrechamente con los fabricantes de chips para desarrollar y probar mitigaciones para proteger a nuestros clientes. Estamos en el proceso de implementar mitigaciones para servicios en la nube y también hemos lanzado actualizaciones de seguridad para proteger a los clientes de Windows contra las vulnerabilidades que afectan a los chips de hardware compatibles de Intel, ARM y AMD. No hemos recibido ninguna información que indique que estas vulnerabilidades se hayan utilizado para atacar a nuestros clientes.
