13 de agosto de 2024Ravie LakshmananVulnerabilidad / Seguridad de hardware Un equipo de investigadores del Centro Helmholtz de Seguridad de la Información de la CISPA en Alemania ha revelado un error arquitectónico que afecta a las CPU XuanTie C910 y C920 RISC-V de la empresa china de chips T-Head, que podría permitir a los atacantes obtener acceso sin restricciones a dispositivos susceptibles. La vulnerabilidad ha recibido el nombre en código de GhostWrite. Se ha descrito como un error directo de la CPU integrado en el hardware, en lugar de un ataque de canal lateral o de ejecución transitoria. «Esta vulnerabilidad permite a los atacantes sin privilegios, incluso a aquellos con acceso limitado, leer y escribir cualquier parte de la memoria de la computadora y controlar dispositivos periféricos como tarjetas de red», dijeron los investigadores. «GhostWrite hace que las funciones de seguridad de la CPU sean ineficaces y no se puede solucionar sin deshabilitar aproximadamente la mitad de la funcionalidad de la CPU». CISPA descubrió que la CPU tiene instrucciones defectuosas en su extensión vectorial, un complemento de la ISA RISC-V diseñada para manejar valores de datos más grandes que la arquitectura del conjunto de instrucciones (ISA) básica. Estas instrucciones defectuosas, que según los investigadores operan directamente en la memoria física en lugar de en la memoria virtual, podrían eludir el aislamiento de procesos que normalmente aplican el sistema operativo y el hardware. Como resultado, un atacante sin privilegios podría utilizar esta laguna para escribir en cualquier ubicación de la memoria y eludir las funciones de seguridad y aislamiento para obtener acceso completo y sin restricciones al dispositivo. También podría filtrar cualquier contenido de la memoria de una máquina, incluidas las contraseñas. «El ataque es 100% confiable, determinista y solo tarda microsegundos en ejecutarse», dijeron los investigadores. «Incluso las medidas de seguridad como la contenedorización de Docker o el sandboxing no pueden detener este ataque. Además, el atacante puede secuestrar dispositivos de hardware que utilizan entrada/salida mapeada en memoria (MMIO), lo que le permite enviar cualquier comando a estos dispositivos». La contramedida más eficaz para GhostWrite es desactivar toda la funcionalidad vectorial, que, sin embargo, afecta gravemente al rendimiento y las capacidades de la CPU, ya que desactiva aproximadamente el 50% del conjunto de instrucciones. «Afortunadamente, las instrucciones vulnerables se encuentran en la extensión vectorial, que puede ser desactivada por el sistema operativo», señalaron los investigadores. «Esto mitiga por completo GhostWrite, pero también desactiva por completo las instrucciones vectoriales en la CPU». «Desactivar la extensión vectorial reduce significativamente el rendimiento de la CPU, especialmente para tareas que se benefician del procesamiento paralelo y el manejo de grandes conjuntos de datos. Las aplicaciones que dependen en gran medida de estas funciones pueden experimentar un rendimiento más lento o una funcionalidad reducida». La revelación se produce cuando el Android Red Team de Google reveló más de nueve fallas en la GPU Adreno de Qualcomm que podrían permitir a un atacante con acceso local a un dispositivo lograr una escalada de privilegios y la ejecución de código a nivel de kernel. Las debilidades ya han sido parcheadas por el fabricante del chipset. También se produce tras el descubrimiento de una nueva falla de seguridad en los procesadores AMD que podría ser explotada por un atacante con acceso al kernel (también conocido como Ring-0) para elevar los privilegios y modificar la configuración del Modo de administración del sistema (SMM o Ring-2) incluso cuando SMM Lock está habilitado. Bautizada como Sinkclose por IOActive (también conocida como CVE-2023-31315, puntuación CVSS: 7,5), se dice que la vulnerabilidad ha permanecido sin detectar durante casi dos décadas. El acceso a los niveles de privilegio más altos en una computadora significa que permite deshabilitar las funciones de seguridad e instalar malware persistente que puede pasar prácticamente desapercibido. En declaraciones a WIRED, la compañía dijo que la única forma de remediar una infección sería conectarse físicamente a las CPU utilizando una herramienta basada en hardware conocida como programador SPI Flash y escanear la memoria en busca de malware instalado utilizando SinkClose. «Una validación incorrecta en un registro específico del modelo (MSR) podría permitir que un programa malicioso con acceso a ring0 modifique la configuración de SMM mientras el bloqueo de SMI está habilitado, lo que podría provocar la ejecución de código arbitrario», señaló AMD en un aviso, en el que afirma que tiene la intención de publicar actualizaciones para los fabricantes de equipos originales (OEM) para mitigar el problema. ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.