Durante todo o día de onte estivemos en vilo a raíz de todas as novas que foron xurdindo arredor de problemas de seguridade que se confirmaron de forma oficial por parte de fabricantes de procesadores. Elaboramos nesta nova un breve resumo.
Xa en decembro había novas e rumores sobre un posible erro de hardware que podía afectar a procesadores Intel e que podía permitir o acceso a rexións de memoria restrinxida, o que pode ser un problema moi grave pois en plataformas cloud poderíase chegar a dar o caso de que se accederan duns clientes a outros ao ser un problema a nivel hardware.
Neste ámbito apareceron dous ataques posibles, o Meltdown e o Spectre, ambos baseados en vulnerabilidades similares.
O Meltdown é algo máis simple de que un posible atacante poida tirar proveito del e tamén máis fácil de solucionar e de momento, oficialmente, só afectaría a procesadores Intel fabricados dende o ano 1995, aínda que poderían aparecer novas a posteriori que confirmen que tamén se podería dar noutros procesadores.
Mentres que o ataque Spectre é algo máis complexo de aproveitarse da vulnerabilidade e tamén de solucionar, afecta tamén a procesadores AMD e ARM, dato bastante relevante, pois a maior parte dos teléfonos móbiles intelixentes teñen un procesador ARM.
Os códigos das vulnerabilidades que comentamos son para o Spectre a CVE-2017-5753 e CVE-2017-5715 e para o Meltdown a CVE-2017-5754.
Solución destes problemas
Como se trata de problemas hardware a solución non é tan sinxela de aplicar, pois serían os propios fabricantes quen debería arranxalo no hardware. Pero, o que si que se pode é tratar de que o propio software non dea pé a poder tirar proveito destes problemas. En Linux xa se atopou solución para o Meltdown e dependendo de que distribución esteas a empregar igual xa tes dispoñible, vía actualización habitual da distribución, esta solución. Polo que o máis recomendable é que teñades os vosos sistemas sempre actualizados, especialmente o paquete do kernel, que a maiores precisa reiniciar o equipo para que a actualización sexa efectiva.
As distintas distribucións de GNU/Linux e BSD teñen nas súas páxinas web información referente ao estado das solucións destes problemas. Abaixo reunimos un compendio do que atopamos ata o momento sobre a vulnerabilidade e o estado de resolución Meltdown:
- ArchLinux solucionada.
- Debian solucionada.
- Fedora solucionada.
- FreeBSD pendente.
- Gentoo pendente.
- Red Hat pendente.
- SUSE pendente.
- Ubuntu pendente.
Mentres tanto, en relación ás vulnerabilidades do Spectre teremos que agardar un pouco para ter máis novas sobre a súa resolución, pois esta é máis complexa e aínda non temos novidades de que os desenvolvedores conseguisen arranxalo.
