En un tercer intento por mitigar los daños que puede producir la vulnerabilidad ZombieLoad, Intel ha anunciado un nuevo parche para sus procesadores. La actualización llegará "en las próximas semanas" y arreglará dos errores más en el muestreo de datos microarquitectónicos (MDS). La compañía ha ido corrigiendo los problemas de forma gradual con dos actualizaciones hasta la fecha y esta tercera que llegará dentro de unas semanas a los equipos afectados.
En mayo de 2019 salió a la luz ZombieLoad, una vulnerabilidad que afecta a todos los procesadores de Intel desde 2011. Mediante ella un tercero puede acceder a datos privados del ordenador sin permisos del usuario. ZombieLoad es la tercera gran vulnerabilidad de Intel en los últimos años, tras el descubrimiento de Meltdown y Spectre. Al igual que en ese caso, con ZombieLoad las actualizaciones/parches también se han desarrollado en conjunto con fabricantes y socios como puede ser Microsoft, Apple o Google por ejemplo.
Cuando descubrimos ZombieLoad fue cuando llegó ya la primera actualización, pues los investigadores avisaron primero a Intel para que tuviese tiempo de corregir los fallos antes de hacerse públicos. En noviembre de 2019 llegó una segunda actualización que mitigaba aún más las posibilidades de utilizar ZombieLoad para un ataque a los usuarios. Ahora un tercer parche corrige dos errores más en MDS que pueden ser utilizados para un ataque.
Errores más leves que los anteriores
En su momento los investigadores explicaron que ZombieLoad "es más fácil de explotar que Spectre, pero más difícil que Meltdown". Intel corrigió los errores básicos que permitían ejecutar ZombieLoad de forma fácil en los primeros parches.
En este tercer parche se han centrado en dos errores más leves que los corregidos en las actualizaciones anteriores. Por ejemplo L1DES, uno de los errores, no se encuentra en los últimos modelos de procesadores Intel. También afirman que "hasta la fecha, no somos conscientes de ningún uso de estos problemas fuera de un entorno de laboratorio controlado" es decir, de forma malintencionada.
Soluciones graduales
La respuesta de Intel ante esta vulnerabilidad no ha sido del todo aceptada por parte de los expertos en seguridad. La estrategia que han seguido es la de lanzar actualizaciones graduales en diferentes parches para solucionar distintos errores de ZombieLoad. Ya con la segunda actualización en noviembre muchos criticaron esta estrategia. El primer parche corregía sólo a medias el problema y podía saltarse fácilmente por parte de de los hackers, según los investigadores. Creen que Intel abusa de los acuerdos de publicación responsable de fallos de seguridad (el tiempo de gracia que se concede a las empresas para corregir el fallo antes de hacerlo público).
Intel por su parte le resta importancia al asunto alegando que "nosotros y nuestros socios de software del sistema hemos lanzado mitigaciones que han reducido de forma acumulativa y sustancial la superficie de ataque general"
Más información | Intel
Ver 14 comentarios