Resumen #

Intel ha publicado recientemente una serie de vulnerabilidades que afectan a la implementación y diseño de algunos de sus procesadores y firmwares, cuya amenaza afecta desde dispositivos hasta plataformas de servidores.

En las siguientes secciones se describe cómo estas vulnerabilidades afectan a los dispositivos de red y a la infraestructura basada en servidores en un centro de datos.

Vulnerabilidad del firmware Intel #

Para abordar los riesgos de estas vulnerabilidades, Intel ha publicado recomendaciones para ayudar a los administradores de sistemas y seguridad a abordar estas amenazas proporcionando algunos recursos:

Revisión de seguridad Intel-SA-00086
Artículo de soporte Intel-SA-00086
Herramienta de detección Intel-SA-00086

Es recomendable leer las observaciones anteriores y aplicar las actualizaciones de firmware que han proporcionado los diferentes proveedores para mantener una infraestructura segura en caso de futuros ataques que pudieran aprovechar estas vulnerabilidades.

En cuanto a cómo afectan estas vulnerabilidades a la infraestructura de red de un centro de datos, podemos resumir las siguientes premisas:

1. Estas vulnerabilidades afectan a la gran mayoría de procesadores Intel y es probable que se vea afectado por cualquiera de ellas.
2. Estas vulnerabilidades se basan en una amenaza de escalada de privilegios y, por lo tanto, requieren acceso local al sistema operativo para poder ejecutar código arbitrario. O al menos, se requiere acceso remoto como administrador para aprovechar estas vulnerabilidades.
3. Será necesario aplicar las actualizaciones de firmware proporcionadas por los proveedores y desactivar, si es posible, los servicios: Intel Management Engine (Intel ME), Intel Trusted Execution Engine (Intel TXE), Intel Server Platform Services (SPS) e Intel ATM.
4. Fortalezca el acceso local y remoto al sistema operativo aislando la red de administración y evitando privilegios de acceso de usuarios o procesos al sistema operativo.
5. Afecta a plataformas virtuales o de hardware, entornos locales o de nube, o incluso microservicios. Cada capa debe cuidar la protección de esta amenaza.

Vulnerabilidad de pérdida de memoria del kernel o error de CPU Intel #

Las CPU Intel se han visto afectadas por un error crítico de seguridad a nivel de chip que no se puede solucionar mediante una actualización de microcódigo, pero sí a nivel de sistema operativo y afecta a todos (Windows, Linux y macOS).

La vulnerabilidad de fuga de memoria del kernel plantea un problema en el que cualquier programa del espacio de usuario (bases de datos, JavaScript, navegadores web, etc.) puede acceder ilegalmente a ciertos contenidos de la memoria protegida del kernel, sobrepasando los límites de memoria virtual especificados en el sistema operativo. La solución a nivel del sistema operativo consiste en la implementación del aislamiento de la tabla de páginas del kernel (KPTI) para garantizar que la memoria del kernel sea invisible para los procesos de usuario.

Pero, como este no es un mundo perfecto, la seguridad mejorada aplicada por este parche introduce una gran penalización en el rendimiento de los programas de usuario, de alrededor de un 30%. Además, la desaceleración dependerá enormemente de la carga de trabajo y del uso intensivo de E/S entre el kernel y los programas del espacio de usuario. Para los casos específicos de funciones de red dentro de un centro de datos, no es tan crítico ya que sus tareas son claras y no requieren demasiado procesamiento de datos, aunque las funciones intensivas de capa 7 como descarga SSL, cambio de contenido, etc.

Esta vulnerabilidad puede ser abusada principalmente por programas o usuarios registrados para leer el contenido de datos de la memoria del kernel. Por esa razón, los entornos de recursos compartidos como la virtualización, los microservicios o los sistemas en la nube tienen más probabilidades de verse afectados y abusados.

Hasta que se proporcione un parche definitivo a nivel de sistema operativo, los puntos de prevención que hemos establecido en la sección anterior serán suficientes por ahora.

AMD ha confirmado que sus procesadores no se ven afectados por la vulnerabilidad y, por tanto, por la penalización de rendimiento.

Meltdown y ataques de espectro #

Los ataques Meltdown y Spectre se refieren a vulnerabilidades de canal lateral encontradas en varias implementaciones de hardware de CPU, que aprovechan la capacidad de extraer información de las instrucciones de la CPU ejecutadas utilizando el caché de la CPU como canal lateral. Actualmente, existen algunas variantes de estos ataques:

Variante 1 (CVE-2017-5753, Espectro): Omisión de verificación de límites
Variante 2 (CVE-2017-5715, también Espectro): Inyección de objetivo de rama
Variante 3 (CVE-2017-5754, Fusión de un reactor): Carga de caché de datos no autorizada, verificación de permiso de acceso a la memoria realizada después de la lectura de la memoria del kernel

Encontrará una explicación técnica más detallada de estos ataques en http://www.kb.cert.org/vuls/id/584653.

Impacto de Meltdown y Spectre en RELIANOID Balanceadores de carga #

El riesgo de estas vulnerabilidades en RELIANOID El balanceador de carga es bajo Como atacante, debe tener acceso local al sistema operativo y debe poder ejecutar código malicioso con privilegios de usuario para poder aprovecharlos. RELIANOID Enteprise Edition es un dispositivo específico de red que no permite que un usuario local no administrativo ejecute código de terceros, por lo que es poco probable que esto suceda y podría evitarse con buenas prácticas de administración.

Además, la red de gestión de Load Balancers suele ser privada y, por defecto, no hay ningún usuario adicional además de un usuario administrativo, por lo que el riesgo es bajo. Por otro lado, los sistemas multiinquilino, como los entornos virtuales públicos, las plataformas de contenedores y los entornos de nube, pueden afrontar el mayor riesgo.

Para evitar el ataque, siga las recomendaciones de seguridad que enumeramos anteriormente.

Actualmente existen algunos parches a nivel de Sistema Operativo para mitigar completamente estas vulnerabilidades pero producen algunos efectos secundarios en el rendimiento. Nuestro equipo de seguridad está trabajando para proporcionar un parche definitivo para mitigar esta amenaza de seguridad lo antes posible con el mínimo impacto en sus servicios de entrega de aplicaciones.

Las siguientes comunicaciones se realizarán a través de los canales de soporte oficiales.