Nueva vulnerabilidad para los procesadores de Intel: Load Value Injection (LVI)
Hoy conocemos que los procesadores de Intel se ven afectados por una nueva vulnerabilidad, la cual ha sido bautizada como Load Value Injection (LVI).
Según la experta en seguridad BitDefender, esta vulnerabilidad es "particularmente devastadora" para los servidores de centro de datos. La vulnerabilidad LVI afecta a todas las familias Intel Core que van desde la arquitectura de 3ª Generación Ivy Bridge, lanzada en el 2012, hasta la última generación Comet Lake (10ª Gen), que incluso no ha debutado aún en los ordenadores de sobremesa.
De acuerdo con las declaraciones de los investigadores, el fallo se basa en las vulnerabilidades de Meltdown que ya están parcheadas a nivel de software, pero el ataque todavía funciona en los sistemas con las mitigaciones de software necesarias. Como tal, Intel, según se informa, necesitará emplear mitigaciones a nivel de hardware para bloquear completamente el vector de ataque LVI. Es decir, que la única forma de solventar el problema realmente está en cambiar a un procesador de Intel aún no existente, o claro, pasarse a AMD, o perder una enorme cantidad de rendimiento desactivando el Hyper-Threading.
Hay que recordar que la semana pasada salió otra vulnerabilidad ligad al CSME que par su mitigación, también era necesario cambiar a una arquitectura más moderna que aún no existe, o pasarse a AMD.
En particular, se dice que la vulnerabilidad (CVE-2020-0551) "permite a los atacantes inyectar valores corruptos en ciertas estructuras microarquitectónicas, que luego son utilizadas por la víctima, lo que puede llevar a revelar secretos". Esto permite el robo de datos, pero supuestamente puede revelar la encriptación o las contraseñas guardadas en la memoria, lo que podría entonces permitir a un atacante asumir el control del servidor objetivo.
Los investigadores sostienen que el ataque podría, en teoría, ejecutarse a través de JavaScript, lo que significa que no es necesario el acceso físico a la máquina, pero aún no han probado ese vector de ataque. Para entornos multi-inquilinos, como los que se encuentran en instancias basadas en la nube, el ataque podría permitir escuchar a escondidas a las instancias vecinas.
Bitdefender afirma que compartió la vulnerabilidad con Intel el 10 de febrero de 2020. La compañía también afirma que las mitigaciones existentes para Meltdown, Spectre y MDS son insuficientes para mitigar el nuevo fallo, y que una solución completa actualmente requiere deshabilitar el Hyper-Threading o comprar nuevo hardware con correcciones en el silicio.
vía: Tom's Hardware
