Tras haber actualizado el kernel Linux en Ubuntu 20.10 y todas las versiones de Ubuntu soportadas actualmente, Canonical ha publicado una versión actualizada del paquete Intel Microcode para abordar las últimas vulnerabilidades encontradas en los productos de Intel. Y ya van… ciertamente ya he perdido la cuenta desde Spectre y Meltdown. Desde entonces son muchos los problemas de seguridad asociados a la empresa de Santa Clara.

Además de la vulnerabilidad CVE-2020-8694 ya parcheada en los núcleos Linux de todas las versiones de Ubuntu, este nuevo paquete Intel Microcode también tiene parches para el microcódigo que corrigen otras como la CVE-2020-8695, CVE-2020-8696, y CVE-2020-8698. Esta última podría permitir un ataque local y exponer información sensible.

El caso de CVE-2020-8695, es una vulnerabilidad descubierta por Andreas Kogler, Catherine Easdon, Claudio Canella, Daniel Grus, David Oswald, Michael Schwarz y Moritz Lipp, en la característica RAPL (Intel Running Average Power Limit) de ciertos microprocesadores Intel. En este caso permitía un side-channel attack basado en mediciones de consumo de energía.

En el caso de la CVE-2020-8696 y CVE-2020-8698 fueron descubiertas por Ezra Caltum, Joseph Nuzman, Nir Shildan y Ofir Joseff en algunos microprocesadores Intel, haciendo que se aíslen de forma incorrecta los recursos compartidos o eliminaran información sensible antes de su almacenamiento o transferencia.

Canonical se apresuró a publicar estas nuevas versiones parcheadas del microcódigo  (Intel Microcode 3.20201110.0) de Intel en Ubuntu 20.10, Ubuntu 20.04 LTS, Ubuntu 18.04 LTS, Ubuntu 16.04 LTS, y Ubuntu 14.04 ESM, así como en todos sus sabores. Aunque lo más probable es que también estén parcheadas en Debian, SUSE, Red Hat, y otras distros que suelen recibir parches de seguridad de forma frecuente.

Ya sabes, si tienes un chip Intel afectado por estas vulnerabilidades, asegurate de actualizar el sistema para poder estar protegido frente a estos fallos de seguridad…

• Más información (buscar el estado de vulnerabilidades, descripción, etc.) – Ver base de datos CVE de Mitre