Las actualizaciones del Patch Tuesday de Intel para julio de 2019 corrigen una grave vulnerabilidad en la herramienta de diagnóstico de procesadores de la empresa y un problema menos grave en sus unidades de estado sólido (SSD) para centros de datos (DC).
La falla que afecta a la herramienta de diagnóstico del procesador se denomina CVE-2019-11133 e Intel le ha asignado una calificación de “alta gravedad” con una puntuación CVSS de 8,2.
Según Intel, un atacante que tiene acceso a un sistema que ejecuta la herramienta puede explotar la vulnerabilidad para escalar privilegios, obtener información o provocar una condición de denegación de servicio (DoS).
El agujero de seguridad, reportado a Intel por el investigador Jesse Michael de Eclypsium, ha sido solucionado con la distribución de la versión 4.1.2.24. Las versiones anteriores, tanto para los sistemas de 32 bits como para los de 64 bits, se ven afectadas.
La segunda vulnerabilidad parcheada por Intel afecta al firmware de la serie SSD DC S4500/S4600 y también puede ser explotada para escalar privilegios. Sin embargo, esta debilidad se ha clasificado como de “gravedad media”, ya que la utilización requiere un acceso físico al dispositivo objetivo.
El problema, descubierto internamente por Intel, afecta a las versiones de firmware anteriores a SCV10150, que contienen un parche.
Las actualizaciones de Intel para mayo de 2019 parchearon diversas vulnerabilidades de Microarchitectural Data Sampling (MDS) que afectaban a la mayoría de los procesadores fabricados en la última década.
Las fallas, descubiertas por investigadores de Intel y otras organizaciones, están relacionadas con la ejecución especulativa y se han denominado ZombieLoad, RIDL, Fallout y Store-to-Leak Forwarding.
Pueden ser explotados local o remotamente para obtener aplicaciones, sistemas operativos, máquinas virtuales y entornos de ejecución de confianza para filtrar información potencialmente sensible, como contraseñas, contenido de sitios web, claves de cifrado de disco e historial del navegador. No obstante, Intel afirma que los ataques reales no son fáciles de llevar a cabo e incluso si el ataque es exitoso, es posible que el atacante no obtenga ninguna información valiosa.
Ilustración (c) rsooll vía Shutterstock
