Como se dio a conocer hace ya bastante tiempo los problemas de seguridad relacionados con Spectre el cual ha dado mucho de qué hablar durante estos meses.

Aun que se han venido solucionando muchos de los errores de seguridad que conllevan a Spectre en Linux, se han desarrollado nuevos errores y sobre todo nuevas variantes.

Para aquellos lectores que desconocen de esta vulnerabilidad les puedo comentar que Spectre es una vulnerabilidad que afecta a los microprocesadores modernos que utilizan predicción de saltos.

En la mayoría de los procesadores, la ejecución especulativa que surge de un fallo de la predicción puede dejar efectos observables colaterales que pueden revelar información privada a un atacante.

Por ejemplo, si el patrón de accesos a la memoria realizados por la mencionada ejecución especulativa depende de datos privados, el estado resultante de la caché de datos constituye un canal lateral mediante el cual un atacante puede ser capaz de obtener información acerca de los datos privados empleando un ataque sincronizado.

En lugar de una única vulnerabilidad de fácil corrección, el documento de Spectre​ describe una clase entera de vulnerabilidades potenciales.

Todas esas vulnerabilidades se basan en explotar los efectos secundarios de la ejecución especulativa, una técnica empleada comunmente para combatir la latencia de la memoria y acelerar así la ejecución en los microprocesadores modernos.

En particular, Spectre se centra en la predicción de saltos, un caso especial de la ejecución especulativa.

A diferencia de la vulnerabilidad Meltdown hecha pública la misma fecha, Spectre no depende de una característica en particular de la gestión de memoria de un procesador en concreto o de cómo proteja el acceso a esa memoria, sino que tiene un enfoque más general.

Debian lanzo correcciones de seguridad

Hace poco el grupo de desarrollo a cargo del Proyecto Debian lanzó un firmware de micro código de Intel actualizado para los usuarios de la serie del sistema operativo Debian GNU / Linux 9 “Stretch” para mitigar dos de las últimas vulnerabilidades de Spectre en más CPU de Intel.

El mes pasado, más precisamente el 16 de agosto, Moritz Muehlenhoff anunció la disponibilidad de una actualización del micro código de Intel que proporciona soporte para SSBD (especulativa tienda bypass Desactivar (SSBD) necesaria para hacer frente a las vulnerabilidades de seguridad Spectre Variant 4 y Specter Variant 3a.

Sin embargo, la actualización del micro código de Intel lanzada el mes pasado sólo estaba disponible para algunos tipos de procesadores de Intel.

Debido a esto, el Proyecto Debian ha publicado un firmware actualizado microcódigo de Intel que implementa soporte para los modelos adicionales SSBD CPU Intel para los usuarios de la más nueva versión del sistema que es Debian 9 Stretch para corregir dos de las vulnerabilidades más recientes Specter descubiertas en más CPU de Intel.

En la lista de correo de anuncios, Moritz Muehlenhoff dijo:

“Esta actualización viene con micro código de cpu actualizada para modelos adicionales de cpus intel que aún no han sido cubiertos por la actualización de micro código de intel, lanzada como dsa-4273-1 (y por lo tanto, proporciona soporte para ssbd (necesario para dirigir ‘specter v4’ y correcciones a ‘spectre v3a’) “.

Para la distribución estable Debian 9 Stretch estos problemas se han solucionado en

versión 3.20180807a.1 ~ deb9u1.

Recomendamos que actualice sus paquetes de intel-microcode.

El Proyecto Debian invita a todos los usuarios de la serie Stretch del sistema operativo Debian usando CPUs Intel para actualizar el firmware del micro código a la versión 3.20180807a.1 ~ deb9u1, que se puede descargar inmediatamente desde main archives.

Además, para corregir totalmente las dos vulnerabilidades de Specter, los usuarios también tendrán que instalar la actualización más reciente del núcleo.

Conocido ampliamente como Spectre variante 3A (CVE-2018-3640) “Rogue System Register Read” y Spectre variante 4 CVE-2018-3639 “Speculative Store Bypass”, ambas son vulnerabilidades Side-Channel que pueden permitir a los invasores obtener acceso a información confidencial sobre vulnerables de sistemas. Son fallas graves y deben ser corregidas lo más rápido posible.

Finalmente basta con tener nuestro sistema totalmente actualizado con las recientes versiones de los componentes de este.

El artículo Debian lanzo actualizaciones de seguridad contra Spectre V4 y V3a aparece primero en Debian lanzo actualizaciones de seguridad contra Spectre V4 y V3a.