FranRDev: Meltdown y Spectre, información y mitigación

¿QUÉ SON MELTDOWN Y SPECTRE?

Meltdown (CVE-2017-5754) y Spectre (CVE-2017-5753 y CVE-2017-5715) son vulnerabilidades críticas recientemente descubiertas en la gran mayoría de procesadores modernos (Intel, ARM y AMD), que afectan a ordenadores, a dispositivos móviles y a la nube. Estos errores de hardware permiten a los programas robar datos que se están procesando, por lo que un programa malicioso podría explotar Meltdown y Spectre para obtener datos sensibles almacenados en la memoria de otros programas en ejecución, como contraseñas, fotos personales, correos electrónicos, mensajes e incluso documentos críticos de una empresa.

PARCHES Y ACTUALIZACIONES

Aunque la mejor solución es que los microprocesadores afectados sean reemplazados, aún no es del todo posible y además sería poco práctico para el usuario y la mayoría de empresas. Por ello, la mayoría de proveedores han sacado actualizaciones o parches a nivel de software, especialmente para Meltdown, ya que Spectre es mucho más complejo y llevará más tiempo. También es importante señalar que las actualizaciones pueden reducir el rendimiento entre un 5 y 30 %.

Windows: el parche lanzado por Microsoft debería llegar de forma automática a todos los usuarios desde Windows Update. Hay tres parches para Windows 10 según la versión:

Windows 10 Fall Creators Update → parche KB4056892 (Build 16299.192).
Windows 10 Creators Update → parche KB4056891 (Build 15063.850).
Windows 10 Anniversary Update → parche KB4056890 (Build 14393.2007).

Windows 7 y Windows 8.1 recibirán la actualización el próximo martes 9 de la forma habitual.
También es posible que nuestro antivirus nos oculte la actualización, en cuyo caso deberíamos desactivarlo temporalmente para poder actualizar.

Linux: los desarrolladores del kernel de Linux han lanzado parches del kernel para las versiones 4.14.11, 4.9.74, 4.4.109, 3.16.52, 3.18.91 y 3.2.97, que se pueden descargar desde kernel.org.

Mozilla Firefox: Mozilla lanzó la versión 57.0.4 de Firefox, que incluye los parches.

Android: los usuarios de Android que ejecutan la versión más reciente del sistema en un móvil de la marca Google (Nexus o Pixel), recibirán a tiempo la actualización de seguridad lanzada el 5 de enero, que corrige 38 vulnerabilidades, entre las que se encuentran Meltdown y Spectre. Los demás usuarios de Android deberán esperar a que los fabricantes de sus dispositivos publiquen una actualización de seguridad compatible.

Google Chrome: Google programó los parches para el 23 de enero con el lanzamiento de Chrome 64. Mientras tanto, los usuarios pueden habilitar una característica experimental llamada 'Site Isolation' (aislamiento del sitio) que puede ofrecer cierta protección, pero también puede causar problemas de rendimiento. Pasos para activarla:

Ir a 'chrome://flags/#enable-site-per-process'.
En 'Strict site isolation' → Habilitar.
Reiniciar Google Chrome.

macOS, iOS, tvOS y Safari: Apple ya ha lanzado parches en iOS 11.2, macOS 10.13.2 (más parches se incluirán en macOS 10.13.3), y tvOS 11.2 También ha planeado lanzar parches en Safari en los próximos días.

VMware: ha lanzado una lista de sus productos afectados por los dos ataques (ESXi, Workstation y Fusion) y sus actualizaciones de seguridad.

Amazon Web Service (AWS): los usuarios deben reiniciar los servidores para aplicar los parches, si no, se reiniciarán a la fuerza el 6 de enero.

PROTECCIÓN EXTRA

Meltdown permite que los ataques se ejecuten a través de JavaScript cargado desde un navegador. Para evitarlo, se puede desactivar/bloquear la ejecución de JavaScript manualmente o mediante extensiones: