Meltdown y Spectre, las dos grandes amenazas de seguridad que afectan a computadoras, tablets y celulares en todo el mundo

Luego de que se difundiera el agujero de seguridad en procesadores Intel, la compañía sacó un comunicado donde dijo que la vulnerabilidad no tiene el potencial de corromper, modificar o borrar datos.

Por otra parte, remarcó que varios procesadores de otras empresas también son sensibles a esos exploits. Y destacó que está trabajando con varias compañías de tecnología, como AMD y ARM, para resolver esta situación.

En el comunicado no se explica de qué se trata la vulnerabilidad, ni cómo o por qué también afectaría a otros procesadores. Sin embargo surgieron más detalles sobre el asunto gracias a una investigación publicada por expertos de seguridad de Project Zero de Google.

De acuerdo con los expertos, en realidad no hay una sino dos fallas: Meltdown y Spectre, que se presentan en tres variantes: CVE-2017-5753, CVE-2017-5715 y CVE-2017-5754. Las dos primeras son de Spectre, y la última corresponde a Meltdown.

Meltdown rompe el aislamiento entre las aplicaciones de usuario y el sistema operativo. El acceso a la memoria kernel le permitiría a cualquier ciberatacante obtener contraseñas y otra información sensible sobre el sistema operativo y programas.

Esta vulnerabilidad afectaría a los procesadores Intel que hagan uso de la ejecución fuera de orden (Out-Of-Order Execution), un paradigma que se emplea en la mayoría de los procesadores de alto rendimiento desde hace más de 20 años.

En el caso de Intel, los procesadores Itanium y los Intel Atom no cuentan con esta característica y por eso no estarían afectados por esta vulnerabilidad, pero el resto sí. Lo que significa que habría millones de computadoras afectadas. Además, la falla también impactaría en los servicios en la nube.

La segunda vulnerabilidad hallada, Spectre, es aún mucho más grave y afectaría no solo a los procesadores Intel, sino también a los de AMD y ARM.

Spectre rompe el aislamiento entre las diferentes aplicaciones y podría engañar a los programas para que filtren información confidencial.

Mientras que Meltdown accede a la memoria del sistema, Spectre accede a la memoria de otras aplicaciones para obtener datos. Esto le permitiría a los atacantes camuflarse como aplicaciones buenas. para atacar al sistema.

Si bien es más difícil explotar esta vulnerabilidad que la de Meltdown, reviste mayor gravedad porque afecta prácticamente a todos los equipos (computadoras, laptops, tablets y celulares) que tengan un procesador Intel, ARM o AMD. La naturaleza del problema (la posibilidad de no dejar rastros y camuflarse) hace que sea mucho más difícil hallar una respuesta.

Linux
Ya se publicaron los parches Kaiser para este sistema operativo. Hay nuevas versiones del kernel que integran estas soluciones y que pueden ser aplicados para resolver el bache de seguridad.

Microsoft
Publicó un parche para los equipos con Windows 10. Para aplicarlo hay que ir hasta Configuración de Windows y revisar las actualizaciones disponibles.

Apple
Se publicó un parche parcial para macOS con la versión 10.13.2, según publicó Apple Insider y tal como se detalla en este tuit del experto en seguridad infromática Alex Ionescu.

Servicios en la nube
Amazon avisó que parte de la infraestructura Amazon EC2 está libre de esta amenaza y que llegarán más actualizaciones para extender esta protección al resto del sistema.

Azure, de Microsoft, ya publicó una actualización para el sistema.

Android
Si bien Meltdown afectaría, en principio, solo a los procesadores Intel, Spectre afectaría, entre otros, a ARM, que es la arquitectura más utilizada en los dispositivos con sistema operativo Android.

Google explicó en su blog de seguridad informática que estas vulnerabilidades ya habían sido detectadas hace tiempo y minimizó el impacto que podría tener en Android ya que, tal como se remarca, los ataques son difíciles de llevar a cabo en este sistema operativo.

Leave a Reply

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *