¡Demonios si! Se ha descubierto otra vulnerabilidad de seguridad en los chips Intel que afecta la tecnología de ejecución especulativa del procesador, como Spectre y Meltdown, y podría ser potencialmente explotada para acceder a información sensible, incluidos los datos relacionados con el cifrado.
Con el nombre de Lazy FP State Restore , la vulnerabilidad (CVE-2018-3665) de los procesadores Intel Core y Xeon acaba de ser confirmada por Intel, y los proveedores ahora se apresuran a lanzar actualizaciones de seguridad para reparar el defecto y proteger a sus clientes.
La compañía aún no ha publicado detalles técnicos sobre la vulnerabilidad, pero como la vulnerabilidad reside en la CPU, la falla afecta a todos los dispositivos que ejecutan microprocesadores basados en Intel Core, independientemente de los sistemas operativos instalados, excepto algunas versiones modernas de distribuciones de Windows y Linux.
Como su nombre indica, la falla aprovecha una característica de optimización del rendimiento del sistema, llamada restauración de estado Lazy FP, integrada en procesadores modernos, que es responsable de guardar o restaurar el estado de la FPU de cada aplicación en ejecución ‘perezosamente’ cuando se cambia de una aplicación a otra, en lugar de hacerlo ‘con entusiasmo’.
«El software del sistema puede optar por utilizar la restauración de estado Lazy FP en lugar de ahorrar y restaurar el estado con un cambio de contexto», dice Intel mientras describe la falla.
«Los estados lazy restaurados son potencialmente vulnerables a exploits donde un proceso puede inferir valores de registro de otros procesos a través de un canal de ejecución especulativo que infiere su valor».
De acuerdo con el aviso de Red Hat , los números guardados en los registros de FPU podrían usarse potencialmente para acceder a información confidencial sobre la actividad de otras aplicaciones, incluidas partes de claves criptográficas que se utilizan para proteger los datos en el sistema.
Todos los microprocesadores que comienzan en Sandy Bridge se ven afectados por este error de diseño, lo que significa que muchas personas deberían volver a prepararlos para solucionar esta vulnerabilidad tan pronto como se implementen los parches.
Sin embargo, debe tenerse en cuenta que, a diferencia de Spectre y Meltdown , la última vulnerabilidad no reside en el hardware. Por lo tanto, la falla se puede solucionar al presionar parches para varios sistemas operativos sin requerir nuevos microcódigos de CPU de Intel.
Según Intel, dado que el defecto es similar aEspectro Variante 3A (Rogue System Register Read), muchos sistemas operativos y software hipervisor ya lo han abordado.
Red Hat ya está trabajando con sus socios industriales en un parche, que se implementará a través de su mecanismo estándar de lanzamiento de software.
Los procesadores AMD no se ven afectados por este problema.
Además, las versiones modernas de Linux, desde la versión 4.9 del kernel, lanzada en 2016, y más tarde no se ven afectadas por este defecto. Solo si usa un Kernel anterior, es vulnerable a esta vulnerabilidad.
Además, las versiones modernas de Windows, incluido Server 2016, y los últimos giros de OpenBSD y DragonflyBSD no se ven afectados por este defecto.
Microsoft también ha publicado un aviso de seguridad, ofreciendo orientación para la vulnerabilidad Lazy FP State Restore y explicando que la compañía ya está trabajando en las actualizaciones de seguridad, pero que no se lanzarán hasta el próximo parche el martes de julio.
Microsoft dice que la restauración Lazy está habilitada de forma predeterminada en Windows y no se puede deshabilitar, y agrega que las máquinas virtuales, kernel y procesos se ven afectados por esta vulnerabilidad. Sin embargo, los clientes que ejecutan máquinas virtuales en Azure no corren ningún riesgo.
Fuente: Thehackernews.com
