Meltdown y Spectre lista de vulnerabilidades
Dos nuevas vulnerabilidades llamados Meltdown y Spectre se han descubierto en los procesadores modernos que permiten a los programas maliciosos robar información de la memoria de otros programas
Los proveedores han comenzado a divulgar información sobre cómo los clientes pueden protegerse de Meltdown y Spectre y el estado de sus servicios. Para que sea más fácil encontrar esta información, se incluiran enlaces a varios avisos ya que se anuncian.Los CVEs relacionadas son CVE-2017 a 5.753, CVE-2017 a 5715 y desde 2017 hasta 5754 CVE-.
Se recomienda encarecidamente que lea el aviso de seguridad por parte de Google, ya que contiene una descripción muy detallada de estas vulnerabilidades.Amazon
Amazon ha publicado un boletín de seguridad que proporciona información sobre cómo los servicios de Amazon AWS que se ven afectados por Meltdown y Spectre. Este boletín afirma:Se trata de una vulnerabilidad que ha existido durante más de 20 años en arquitecturas de procesadores modernos como Intel, AMD, y el brazo a través de servidores, ordenadores de sobremesa y dispositivos móviles. Todos menos un porcentaje pequeño de un solo dígito de instancias a través de la flota Amazon EC2 ya están protegidos. Los restantes se completará en las próximas horas, con avisos de mantenimiento asociados ejemplo.Mientras que las actualizaciones AWS realiza proteger la infraestructura subyacente, con el fin de estar completamente protegidos contra estos problemas, los clientes también deben actualizar sus sistemas operativos ejemplo. Versiones de Amazon Linux han sido puestos a disposición, y las instrucciones para actualizar las instancias existentes se dispone más adelante junto con cualquier otro tipo de orientación relacionada con AWS relevante para este boletín.
AMD
AMD no ha publicado un aviso oficial en el que esencialmente dicen que sus CPUs no son vulnerables a las vulnerabilidades de ejecución especulativa. A continuación se muestra la tabla de esta nota de prensa:A medida que el panorama de la seguridad sigue evolucionando, un esfuerzo de colaboración de intercambio de información en la industria representa el más fuerte DEFEFurthermroe, Tom Lendacky, un ingeniero de software de AMD, había publicado un correo electrónico a la lista de correo del kernel de Linux que indica:
Los procesadores AMD no están sujetos a los tipos de ataques que la función de aislamiento tabla de páginas del núcleo protege contra. La microarquitectura AMD no permite referencias de memoria, incluyendo las referencias especulativas, que accedan a datos privilegios más altos cuando se ejecuta en un modo privilegiado menor que el acceso al daría lugar a un error de página.
Inhabilitar el aislamiento de la tabla de página por defecto en los procesadores de AMD no se establece la función X86_BUG_CPU_INSECURE, que controla si se establece X86_FEATURE_PTI.
Android
El equipo de Android ha actualizado su boletín de enero de 2018, con la siguiente nota:CVE-2017-5715, CVE-2017-5753 y CVE-2017-5754, un conjunto de vulnerabilidades relacionados con la ejecución especulativa en procesadores, han dado a conocer públicamente. Android tiene conocimiento de ninguna reproducción exitosa de estas vulnerabilidades que permitan la divulgación de información no autorizada en cualquier dispositivo Android basado en ARM.Para proporcionar protección adicional, la actualización de CVE-2017-13218 incluye en este boletín reduce el acceso a los contadores de tiempo de alta precisión, lo que ayuda ataques de canal lateral límites (como CVE-2017 a 5715, CVE-2017 hasta 5753, y CVE-2017 -5754) de todas las variantes conocidas de procesadores ARM.
Recomendamos a los usuarios de Android para aceptar actualizaciones de seguridad disponibles para sus dispositivos. Ver el blog de seguridad de Google para obtener más detalles.
ARM
ARM ha publicado un boletín de seguridad que se enumeran los procesadores ARM que son susceptibles a los ataques de Fusión y Spectre.Sobre la base de los últimos resultados de la investigación de Google en los potenciales nuevos temporización caché canales secundarios que explotan la especulación procesador, aquí es la más reciente información sobre posibles procesadores ARM afectados y sus posibles mitigaciones. Nosotros publicaremos los resultados de la investigación de nuevos aquí, según sea necesario.
Chromium Project
El Proyecto Chromium ha publicado un aviso en el que prestan las mejores prácticas para los desarrolladores web y recomiendan que los usuarios de cromo permiten el aislamiento del sitio .El asesoramiento completo está aquí: https://www.chromium.org/Home/chromium-security/ssca
Sugiero fuertemente que todo el mundo lea los siguientes artículos para obtener información técnica detallada:
https://meltdownattack.com/ y https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html
Intel
Intel ha lanzado un comunicado de prensa con respecto a estas vulnerabilidades. Una porción de este comunicado de prensa afirma:Intel y otras compañías de tecnología han sido informados de la nueva investigación de seguridad que describe los métodos de análisis de software que, cuando se utiliza con fines maliciosos, tienen el potencial para reunir incorrectamente los datos sensibles de los dispositivos que están funcionando como se diseñó computación.Intel cree que estas hazañas no tienen el potencial para corromper, modificar o borrar datos.
Los informes recientes de que estas hazañas son causadas por un “error” o un “defecto” y son exclusivos de los productos de Intel son incorrectos. Basándose en el análisis hasta la fecha, muchos tipos de dispositivos informáticos - con los procesadores de muchos proveedores diferentes y sistemas operativos - son susceptibles a estos exploits.