Intel está atravesando una mala racha en todos los aspectos, tanto por los problemas de que no cubre la demanda como por los problemas de sus procesos litográficos, pero el más importante es el de las vulnerabilidades que tienen sus procesadores. Ahora llega otra más basada en los problemas de la ejecución especulativa de Meltdown y Spectre, pero haciéndolo a la inversa.

La vulnerabilidad LVI, de inyección en la carga de valores —tiene web propia—, lo que hace es, en lugar de extraer información de los búferes del procesador, la inserta. Esto puede permitir que, eligiendo bien la información introducida, se pueda recuperar información sensible durante la ejecución de un programa.

Los investigadores de las universidades que han probado los ataques sobre los procesadores de Intel no los han probado en los de otras compañías, pero potencialmente hay otros procesadores de arquitectura ARM o los de AMD que podrían ser vulnerables según cómo tengan implementada la ejecución especulativa. Eso se irá viendo con el paso de los días.

Esta vulnerabilidad tiene asignado el código CVE-2020-0551, y la solución en la que está trabajando Intel podría afectar gravemente al rendimiento de sus procesadores en ciertas cargas de trabajo. Las buenas noticias es que afecta a aquellos que tengan SGX activado, y las malas es que potencialmente afecta a todos los que no tengan SGX activado —todavía no se ha investigado—, que son las extensiones de seguridad de Intel. El mayor impacto lo sufrirán los centros de datos, porque no se pueden permitir que una máquina virtual filtre información a otra máquina virtual atacante. Los investigadores aseguran que en teoría se podría aprovechar la vulnerabilidad mediante código JavaScript a través de internet, pero la vulnerabilidad tiene sobre todo carácter local.

Los procesadores afectados son todos los Atom, Pentium, Xeon y Core excluyendo los más recientes Ice Lake —según los investigadores, porque Intel incluye también los Ice Lake como vulnerables—. La investigación de LVI ha sido financiada por Intel desde que se le diera a conocer el 4 de abril de 2019, y ha sido hecha pública el 10 de marzo de 2020. Se trata de un año entero en el que han ido protegiendo de la vulnerabilidad a sus futuros procesadores, mientras preparaban las mitigaciones oportunas. Esas mitigaciones llegarán para los entornos de uso de SGX, por lo que los procesadores comerciales no las tendrán por ahora —y por tanto a nivel doméstica no habrá impacto de rendimiento—.

Vía: AnandTech.