Intel confirma nuevas vulnerabilidades de Spectre 1.1 y 1.2

Intel ha confirmado el descubrimiento de al menos dos vulnerabilidades de seguridad de canal lateral más en relación con la familia de ataques de Spectre en sus procesadores, pagando una recompensa de 100,000 dólares a los investigadores que los descubrieron.

Lo último en una serie de vulnerabilidades de seguridad procesadas por hardware que afectan a la mayoría de los procesadores en el mercado actual, Spectre 1.1 y Spectre 1.2, como su nombre lo indica, subvariantes de la ya conocida vulnerabilidad de canal lateral Specter Variant 1. Al igual que su vulnerabilidad principal, los ataques permiten que el código no privilegiado infiera los contenidos de la memoria a los que no debería tener acceso, incluidas las contraseñas de lectura y las claves criptográficas.

Descubierto por Vladimir Kiriansky y Carl Waldspurger, quienes han publicado un documento que explica sus hallazgos, Intel ha confirmado las vulnerabilidades a través de su equipo de respuesta de incidentes de seguridad de fuente abierta, pagando 100.000 dólares a través de su programa de recompensas por errores.

Intel y ARM han reconocido públicamente que algunas de sus CPU son vulnerables a Spectre 1.1. AMD no ha publicado una declaración, pero AMD ha sido históricamente lenta en la revisión de los problemas de seguridad. Como todos los ataques de Spectre afectaron a las CPU de AMD, es seguro asumir que estos nuevos también podrían afectan AMD.

"La mayoría de los sistemas operativos modernos se ven afectados" y es, como parece ser común para estas vulnerabilidades, que confía en un parche de software para mitigar el riesgo en lugar de lanzar una actualización de microcódigo.

Sin embargo, Intel ha prometido actualizaciones de microcódigo más regulares para sus productos, incluyendo, con suerte, aquellos que parchean estas últimas vulnerabilidades. Bajo su nuevo cronograma, la compañía lanzará actualizaciones cada tres meses, dando tiempo a los investigadores de seguridad y administradores de sistemas para planear cómo se probarán y se implementarán las actualizaciones, tomando una hoja del ciclo mensual de Parches Martes de Microsoft.

Resumen de todas las vulnerabilidades