Vulnerabilidades del canal lateral del microprocesador (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impacto en los productos Dell

ID de CVE: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell está al tanto de las vulnerabilidades de análisis de canal lateral, también conocidas como Meltdown y Spectre, que afectan a muchos microprocesadores modernos y que se han descrito públicamente por un equipo de investigadores de seguridad el 3 de enero del 2018. Hasta la fecha, no se han informado vulnerabilidades del "mundo real" de estas vulnerabilidades, aunque los investigadores han producido pruebas de concepto.

Orientación sobre el parche

Actualización 11/10/2019:

Hay tres componentes esenciales que se deben aplicar para mitigar las vulnerabilidades mencionadas anteriormente:

1. Aplique la actualización del microcódigo del procesador a través de la actualización de BIOS que se menciona en la sección Productos Dell afectados a continuación.
2. Aplique el parche de sistema operativo pertinente. Consulte la sección Orientación sobre parches de sistema operativo que se muestra a continuación.
3. Para los sistemas pertinentes, es necesario aplicar el paquete de controladores de NVIDIA mencionado en la sección Productos Dell de clientes con GPU de NVIDIA a continuación. En el caso de las plataformas que incluyen el software GeForce Experience (GFE), en el paquete de controladores también se incluirá la versión mitigada de GFE.

Los parches de sistema operativo proporcionan mitigaciones para las vulnerabilidades Spectre (variante 1) y Meltdown (variante 3). La actualización del controlador de NVIDIA proporciona mitigación para las vulnerabilidades Spectre (variante 1). La actualización de microcódigo solo se requiere para las vulnerabilidades Spectre (variante 2) y CVE-2017-5715.

Dell actualizará este artículo con información a medida que esté disponible, lo que incluirá productos afectados y pasos de corrección.

Dell les recomienda a los clientes seguir las mejores prácticas de seguridad para protegerse contra malware en general y, así, protegerse de la posible explotación de tales vulnerabilidades. Entre estas prácticas se incluye realizar actualizaciones de software con prontitud, evitar hipervínculos y sitios web no reconocidos, no descargar archivos o aplicaciones de fuentes desconocidas y seguir protocolos de contraseña segura. Los clientes también deben utilizar software de seguridad para ayudar a proteger contra el malware (software avanzado de prevención de amenazas o antivirus).

Notas:

• La lista de plataformas afectadas de los productos Dell para clientes se actualizará en cuanto la información esté disponible.
• Para obtener información sobre los productos Dell EMC (servidores, almacenamiento y redes Dell PowerEdge), consulte el artículo de la base de conocimientos de Dell Ataques de canal lateral de microprocesador (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impacto en los productos de Dell EMC (servidores, almacenamiento y redes empresariales de Dell).

Productos Dell de cliente comercial y consumidor afectados

Los siguientes sistemas son los afectados y recibirán un firmware con parche a través de la versión del BIOS de Dell (actualización de BIOS). Las fechas en esta lista son estimaciones proporcionadas para fines de planificación del cliente y se actualizarán con vínculos de descarga de los paquetes cuando estén disponibles.

Notas:

• Antes de instalar las versiones del BIOS, asegúrese de que Windows Updates esté actualizado.
• Las fechas indicadas corresponden a fechas estimadas de disponibilidad y están sujetas a cambios sin previo aviso.
• Las siguientes fechas están en el formato MM/DD/AA de los EE. UU.
• Es posible que estos parches también incluyan el componente de firmware del aviso de Intel ME/TXE (INTEL-SA-00086). Consulte la Base de conocimientos de Dell en el aviso de Intel ME/TXE para obtener más detalles.
• En la siguiente tabla, se incluye un enlace a la página de producto para su computadora Dell, la cual contiene el BIOS más reciente disponible; siga las instrucciones a continuación.

Deberá realizar las siguientes acciones:

1. Visite el sitio web de soporte de Dell.
2. Se le brindan tres opciones para identificar la computadora.

   O:

   • Toque o haga clic en la lista que corresponda a la computadora en THIS PC.
     Nota: Si no hay una lista para su computadora en THIS PC, puede tocar o hacer clic en Download & Install SupportAssist, lo cual automáticamente identificará la computadora por usted. Siga las indicaciones para descargar e instalar SupportAssist.
   • Ingrese la etiqueta de servicio, el ID del producto Dell EMC o el modelo y, luego, toque o haga clic en el botón Search y seleccione la computadora en la lista.
   • Toque o haga clic en Browse all products: Debe seleccionar el tipo de dispositivo que tiene, el nombre de la marca y, luego, el modelo del producto.
     Nota: Para obtener más información, consulte el artículo de la base de conocimientos de Dell Cómo determinar el número de modelo de su computadora Dell o el video que aparece a continuación.
3. Toque o haga clic en la pestaña DRIVERS & DOWNLOADS.
4. En el menú desplegable en Categoría, seleccione BIOS.
5. Toque o haga clic en Descargar a la derecha del BIOS más reciente que se indica para su computadora y, a continuación, siga las indicaciones.

Nota:

• Las versiones de ThinOS 8.4 y posteriores no se ven afectadas.
  ThinOS, por diseño, es un sistema operativo "cerrado", es decir, en ThinOS solo se puede ejecutar software suministrado por Dell. No existe un navegador web u otra interfaz para descargar o instalar software en ThinOS o para navegar por dicho software. En la versión 8.4, ThinOS introdujo la verificación de firma digital de actualizaciones o paquetes de software. Por lo tanto, los usuarios (incluidos los administradores) no pueden descargar o instalar otro software en ThinOS, lo que incluye malware que podría explotar las vulnerabilidades en la CPU subyacente. Los clientes deben actualizar sus dispositivos a la versión más reciente de ThinOS. Dell continuará supervisando la situación.

Deberá realizar las siguientes acciones:

1. Visite el sitio web de soporte de Dell.
2. Se le brindan tres opciones para identificar la computadora.

   O:

   • Toque o haga clic en la lista que corresponda a la computadora en THIS PC.
     Nota: Si no hay una lista para su computadora en THIS PC, puede tocar o hacer clic en Download & Install SupportAssist, lo cual automáticamente identificará la computadora por usted. Siga las indicaciones para descargar e instalar SupportAssist.
   • Ingrese la etiqueta de servicio, el ID del producto Dell EMC o el modelo y, luego, toque o haga clic en el botón Search y seleccione la computadora en la lista.
   • Toque o haga clic en Browse all products: Debe seleccionar el tipo de dispositivo que tiene, el nombre de la marca y, luego, el modelo del producto.
     Nota: Para obtener más información, consulte el artículo de la base de conocimientos de Dell Cómo determinar el número de modelo de su computadora Dell o el video que aparece a continuación.
3. En el menú desplegable Sistema operativo, seleccione el sistema operativo instalado en la computadora.
4. En el menú desplegable Categoría, seleccione Video.
5. Toque o haga clic en Descargar a la derecha del controlador gráfico o de video más reciente que se indica para su computadora y siga las indicaciones.

Orientación sobre parches de sistema operativo

Los sistemas operativos enumerados a continuación se ven afectados y deben actualizarse siguiendo las instrucciones proporcionadas en los avisos para el sistema operativo correspondiente.

Aviso de Microsoft: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

Red Hat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Referencias

Aviso de Intel Security: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Boletines de seguridad de NVIDIA:

• Boletín de seguridad: Actualizaciones de seguridad del controlador NVIDIA para vulnerabilidades especulativas del canal lateral de la CPU
• Boletín de seguridad: Actualizaciones de seguridad de NVIDIA GeForce Experience (GFE) para vulnerabilidades especulativas de canales laterales

Actualización de AMD: http://www.amd.com/en/corporate/speculative-execution

Publicación del blog Project Zero de Google: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Documentos de investigación: https://meltdownattack.com