Meltdown y Spectre, las vulnerabilidades de seguridad presentes en los procesadores ARM, Intel y AMD marcaron el inicio de año en este campo. Ahora, dos nuevas variantes de Spectre han sido descubiertas.
Si algo trajo la solución inicial de Spectre, cuyo fallo se centra en la ejecución especulativa de los procesadores, fue una bajada de rendimiento en dichos procesadores, que eran acentuados bajo ciertas tareas.
Esto es así puesto que la ejecución especulativa permite, a grandes rasgos, aumentar el rendimiento del procesador. Ahora, Spectre 1.1 (CVE-2018-3693) llega como una vulnerabilidad similar a la primera y cuarta variante (de mayo), permitiendo que un atacante pueda hacer uso de la ejecución especulativa creando un desbordamiento del buffer de la caché del almacenamiento del procesador. Con ello, podría tanto escribir como ejecutar código malicioso en direcciones de memoria que estaban reservadas.
Spectre 1.2, en cambio, posibilita a un atacante escribir en ciertos sectores de la memoria que están marcados como solo lectura, pudiendo afectar a distintas funciones de seguridad del procesador y el sistema.
Intel, uno de los fabricantes afectados puesto que le afectan todas las variantes, ya ha asegurado que proporcionará actualizaciones de firmware para mitigar el problema con mayor rapidez que anteriormente. Además, han recompensado a través de su programa de búsqueda de fallos a los investigadores con 100.000 dólares.
En el caso de ARM, con todas las variantes que afectan exceptuando Meltdown ya ha reconocido el problema, mientras que AMD, en la mismo posición de vulnerabilidad que ARM, no ha hecho anuncios al respecto.
Mientras tanto, los documentos que describen estas dos nuevas variantes presentan también tres posibles formas de mitigar Spectre 1.1, y una de Spectre 1.2, que podrían ayudar a las empresas a crear los parches con mayor velocidad.
Microsoft, Red Hat y Oracle ya lanzaron advertencias, diciendo que aún están investigando si alguno de sus productos es vulnerable a las nuevas variantes de Spectre.
Fuente: Segu-info.com.ar
