Horn ha encontrado dos vulnerabilidades críticas llamadas Meltdown y Spectre que afectan a casi todos los procesadores fabricados en los últimos 20 años. Los investigadores han podido probar que mediante estos fallos de seguridad un usuario no autorizado puede leer información sensible en la memoria del sistema, incluyendo contraseñas, claves de cifrado y datos de la memoria caché. Project Zero afirma que descubrieron los fallos de seguridad hoy expuestos el año pasado.
La amenaza de las vulnerabilidades difiere en función del procesador y fabricante. AMD afirma, y la investigación así lo apoya, que prácticamente no existe riesgo para sus productos debido a que por diferencias en la arquitectura solo son susceptibles a una de las variantes. Según Project Zero en el caso de AMD se solucionaría el problema de seguridad con una actualización del sistema operativo, que podría implicar un impacto en el rendimiento del equipo.
Contraseña descubierta usando un ataque Meltdown.
Pocas horas antes de que Google facilitase esta información Intel ya avanzaba que sus procesadores no eran los únicos afectados por las vulnerabilidades. En su comunicado Intel también afirma que la compañía tenía planeado informar sobre los fallos de seguridad junto a AMD, ARM y los desarrolladores de sistemas operativos la próxima semana, momento en el que estaba previsto distribuir actualizaciones de software y firmware. Pero los hechos se han precipitado.
Además, Intel también ha querido salir al paso ante los “informes inexactos de los medios” en los que se afirma que la solución a los problemas de seguridad vía software o firmware causa una ralentización del ordenador afectado. La compañía asegura que “cualquier impacto en el rendimiento dependerá de la carga de trabajo, y para el usuario medio no debería ser significativo”. Sin embargo, Intel no aborda cómo afectará a los servidores donde se estima que el efecto en la reducción del rendimiento será mayor.
Microsoft publica una actualización de seguridad de emergencia
Microsoft ha confirmado a The Verge que ya ha puesto en marcha una actualización de emergencia con el objetivo de proteger a los usuarios de Windows ante el fallo de seguridad de los procesadores de Intel, AMD y ARM. La actualización se realizará de forma automática en los dispositivos Windows 10. También estará disponible para su aplicación en equipos con Windows 7 o Windows 8, pero estos no se actualizarán automáticamente vía Windows Update hasta el próximo martes.
Debido a la naturaleza de las vulnerabilidades la actualización de Windows podría no ser suficiente. En algunos casos también será necesario que los desarrolladores de procesadores actualicen el firmware de sus productos. Los proveedores de antivirus también deberán poner al día su software para que funcione correctamente una vez aplicados los parches, ya que los cambios están relacionados con el acceso a contenidos protegidos en la memoria del kernel.
No solo Microsoft trabaja en proteger a los usuarios de su sistema operativo. La investigación de Google ha probado que los fallos de seguridad en los procesadores también afectan a los dispositivos con macOS, Linux, ChromeOS y Android. Se espera que los responsables de estos sistemas operativos lancen actualizaciones próximamente.
Volcado de la información en la memoria usando Meltdown.
