Vulnerabilidad de bloqueo afecta a millones de CPU Intel y provoca un grave impacto de filtración de datos

Conozca los detalles técnicos sobre esta vulnerabilidad de seguridad recientemente revelada, así como las recomendaciones de mitigación de los investigadores de Google que la descubrieron.

Imagen: uflypro/Adobe Stock

El investigador de Google Daniel Moghimi ha descubierto una nueva vulnerabilidad que afecta a millones de modelos de chips Intel. Apodada Downfall por Moghimi, la vulnerabilidad, si se explota con éxito, podría permitir a los atacantes robar datos confidenciales de las víctimas. Intel proporciona mitigaciones para el hardware afectado, que incluye dispositivos informáticos basados ​​en procesadores Intel Core desde la 6.ª generación Skylake hasta la 11.ª generación Tiger Lake.

Salta a:

¿Qué es una vulnerabilidad de bloqueo?

El aviso de Intel informa que CVE-2023-40982/Downfall es una vulnerabilidad de divulgación de información de hardware de gravedad moderada.

Moghimi dijo que el error reside en la función de optimización de memoria de los procesadores Intel. La explotación exitosa de esta vulnerabilidad podría revelar registros internos de hardware al software. Por lo tanto, el software que no es de confianza puede acceder a los datos almacenados por otro software, lo que no es posible.

Debe leer el informe de seguridad

Más específicamente, los investigadores «… descubrieron que la instrucción Gather, diseñada para acelerar el acceso a datos dispersos en la memoria, filtró el contenido del archivo de registro vectorial interno durante la ejecución especulativa». También afirmó que «la instrucción Gather parece use Un búfer temporal compartido entre subprocesos que envía instantáneamente datos a instrucciones dependientes posteriores y datos que pertenecen a diferentes procesos y recopila ejecuciones que se ejecutan en el mismo núcleo.

Moghimi publicó una descripción detallada de su investigación sobre la vulnerabilidad, junto con el código fuente completo de Downfall. Intel publicó un documento técnico sobre la recopilación de muestras de datos, y la empresa usa el nombre para referirse a «fallos».

La vulnerabilidad Downfall se informó por primera vez a Intel en agosto de 2023 y permanece embargada hasta que se solucione. Este informe está en línea con la práctica de Divulgación coordinada de vulnerabilidades de divulgar públicamente las vulnerabilidades solo después de que las mitigaciones estén disponibles.

Escenario de explotación de accidentes

Moghimi proporciona algunos escenarios de explotación de Downfall en su trabajo de investigación, que probó con éxito y muestra un video en su sitio web. Estos escenarios conducen a diferentes tipos de robo de datos.

Robar claves de encriptación

Moghimi demostró un ataque contra el estándar de cifrado avanzado realizado por la herramienta de línea de comandos OpenSSL. La herramienta se ejecuta en una máquina virtual, mientras que el ataque se ejecuta en un subproceso del mismo nivel en el mismo núcleo de CPU en otra máquina virtual.

Probó 100 claves AES diferentes; la clave AES-128 tuvo una tasa de éxito del 100 % y la clave AES-256 tuvo una tasa de éxito del 86 %. La caída en la tasa de éxito se puede eludir volviendo a ejecutar el ataque varias veces para recuperar la clave completa.

robar datos arbitrarios

También se pueden robar datos arbitrarios en reposo siempre que el ataque se ejecute en el mismo núcleo de procesador físico que la víctima.

Por ejemplo, Moghimi mostró un video en el que extrae datos del kernel de Linux, pero el ataque también se puede usar para extraer otros datos. En otro ejemplo de video, Moghimi demuestra la posibilidad de monitorear caracteres imprimibles.

más posibilidades de ataque

Los piratas informáticos pueden apuntar a credenciales de alto valor, como contraseñas y claves de cifrado, lo que podría conducir a otros ataques que violen la disponibilidad y la integridad de las computadoras, escribió Moghimi.

Intel escribió: «El malware puede inferir datos previamente almacenados en registros vectoriales utilizados por el mismo subproceso o subprocesos hermanos en el mismo núcleo físico. Estos registros pueden haber sido utilizados por otros dominios de seguridad, como otros invitados de máquinas virtuales (VM). ., kernel del sistema operativo (SO) o enclave de Intel® Software Guard Extensions (Intel® SGX)”.

Cómo mitigar esta amenaza de ciberseguridad

Intel ha publicado una actualización de firmware y recomienda que los usuarios de los procesadores Intel afectados actualicen a la última versión de firmware que solucione estos problemas.

Para los clientes de Intel SGX, la empresa recomienda actualizar el microcódigo ubicado en la memoria flash de la plataforma especificada por el punto de entrada 1 de la tabla de interfaz de firmware.

Moghimi ofrece otras mitigaciones, pero la mayoría tiene serios inconvenientes:

• La desactivación de subprocesos múltiples simultáneos mitiga parcialmente el riesgo, pero tiene un costo de rendimiento: perderá alrededor del 30% de su velocidad de cómputo. Tampoco previene la fuga de datos durante los cambios de contexto.
• Las instrucciones afectadas que filtran secretos a Gather están deshabilitadas, pero esto no mitiga completamente el ataque.
• Deshabilitar la recopilación ralentizará su aplicación y puede bloquear las aplicaciones que dependen de esta función.

Moghimi también propone evitar el reenvío instantáneo de datos después de las instrucciones Gather, lo que puede mitigar los ataques Downfall sin las desventajas de los esquemas de mitigación anteriores. Intel implementó esta mitigación en su última actualización de microcódigo.

Divulgación: Trabajo para Trend Micro, pero las opiniones expresadas en este artículo son mías.