Estas vulnerabilidades ocurren en casi todas las computadoras actuales, en dispositivos móviles y también en las computadoras usadas en la nube.  Dependiendo de la infraestructura de la nube, podría ser posible que el atacante pueda robar datos de otros clientes.

Esta nueva clase de vulnerabilidades (Meltdown y Spectre) recientemente anunciadas y denominas como “ejecución especulativa de canal lateral” (speculative execution side-channel) afectan a muchos de los procesadores modernos tales como Intel, AMD y ARM así como a sistemas operativos como Windows, Linux, Android, Chrome, iOS y MacOS.

Si está funcionando bajo virtualización o en una nube del tipo infraestructura como servicio, cualquier otro “guest” que se ejecuta en el mismo “host” puede tratar de aprovechar estas vulnerabilidades y robarle información. Por lo tanto, los proveedores de la nube están obligando a realizar  los reinicios correspondientes para instalar los parches.

Características

Meltdown y Spectre explotan vulnerabilidades críticas en procesadores más modernos. Estos errores de hardware permiten a los programas robar datos que se procesan actualmente en el equipo.

Mientras que los programas por regla general no pueden leer datos de otros programas, un programa malicioso puede explotar las vulnerabilidades de Meltdown y Spectre y obtener secretos almacenados en la memoria de otros programas en ejecución. Esto podría incluir las contraseñas almacenadas en un gestor de contraseñas o en el navegador, sus datos personales, correos electrónicos, mensajes instantáneos y documentos, etc.

Pueden encontrar más detalles en:

http://blog.cyberus-technology.de/posts/2018-01-03-meltdown.html

https://googleprojectzero.blogspot.com.ar/2018/01/reading-privileged-memory-with-side.html

Características de Meltdown.

Meltdown rompe el aislamiento más fundamental entre las aplicaciones de usuario y el sistema operativo. Este ataque permite a un programa acceder a la memoria sin restricciones, y por lo tanto también a los secretos de otros programas o el sistema operativo. Pueden encontrar una descripción general más detallada en la sección mecanismo en:

Meltdown Paper

Si un equipo tiene un procesador vulnerable ya sea una notebook o en la infraestructura de la nube y tiene un sistema operativo sin la actualización correspondiente, no es seguro para trabajar con información sensible porque existe la posibilidad de que otro proceso logre filtrar la información. Existen parches de software que pueden mitigar esta vulnerabilidad.

Solo se ha comprobado esta vulnerabilidad en procesadores Intel

Caracteristicas de Spectre

Spectre rompe el aislamiento entre las diferentes aplicaciones. Permite que un programa atacante engañar a los programas que funcionan correctamente y que siguen las mejores prácticas, robar sus secretos. De hecho, los controles de seguridad de dichas mejores prácticas en realidad aumentan la superficie de ataque y pueden hacer que las aplicaciones sean más susceptibles a Spectre

La vulnerabilidad Espectre es más difícil de explotar que la de Meltdown, pero también es más difícil de mitigar. Es posible prevenir ataques conocidos específicos basados en Espectre a través de parches de software.

Se ha comprobado en procesadores Intel, AMD y ARM.

Se espera que el impacto en las aplicaciones implementadas en equipos virtuales sea más alta que en equipos no virtualizados debido a la mayor frecuencia de las transiciones del procesador entre el modo usuario y el modo kernel o núcleo.

Spectre paper

Afectación al SQL Server

Excepto el SQL Server sobre procesadores IA64 todos los demás están afectados.  Microsoft ha publicado varias actualizaciones y ha tomado medidas para proteger sus servicios en la nube para ayudar a mitigar estas vulnerabilidades.

Microsoft no ha recibido información alguna que indicara que estas vulnerabilidades ya se hayan utilizado. Para obtener todas las protecciones disponibles, se requieren las últimas actualizaciones de software y hardware o firmware. Esta documentacion y otros detalles los puede encontrar en:

SQL Server Guidance to protect against speculative execution side-channel vulnerabilities

Microsoft actualizará esta página a medida que haya más información disponible. En la misma pueden encontrar las descargas a las actualizaciones a  la última compilación disponible.

Microsoft está haciendo una evaluación del rendimiento debido a los reportes de caida de rendimiento relacionados a los parches de seguridad en PostgreSql. Sin embargo, en el momento de la publicación, Microsoft no ha validado todavía el rendimiento del SQL Server con todas las revisiones de microcódigo, ni validó el rendimiento en todos los entornos Linux. Se recomienda a los clientes evaluar el rendimiento de su aplicación concreta al aplicar revisiones.

Es importante Validar el impacto en el rendimiento antes de habilitar los cambios y antes de implementarlos en un entorno de producción.

Escenarios

El documento describe varios escenarios diferentes tanto en hardware físicos como virtuales, en convivencia con otras aplicaciones, en entornos privados o compartidos  o que utilizan distintos mecanismos de extensibilidad. Cada escenario tiene una sugerencia específica.

Mecanismos de extensibilidad de SQL Server considerados inseguros o no confiables

  • Assemblies CLR
  • Scripts de R o Python
  • R/Machine Learning studio
  • Puntos de extensibilidad de agente SQL (secuencias de comandos ActiveX)
  • Proveedores de OLE DB en Linked Servers que no son de Microsoft
  • Procedimientos almacenados extendidos que no son de Microsoft

Recursos

https://meltdownattack.com/
https://spectreattack.com/

Para windows tomar en cuenta la información de la siguiente página:

Windows Server guidance to protect against speculative execution side-channel vulnerabilities

 

 

Categorías: Seguridad SQL Server

Dejá un comentario

Tu dirección de correo electrónico no será publicada. Los campos necesarios están marcados *

This site uses Akismet to reduce spam. Learn how your comment data is processed.