O ano de 2018 começou agitado para usuários de redes de computadores e smartphones. O anúncio da descoberta de duas vulnerabilidades críticas em processadores (Meltdown e Spectre), que atingem chips produzidos nos últimos 10 anos, está trazendo grandes preocupações nestes primeiros dias do ano. Embora não se possa afirmar quantos fabricantes foram afetados, já existe a confirmação de pelo menos um entre os líderes do segmento.

Até aí poderíamos considerar como mais um caso de falha grave de segurança noticiado. Porém, ao contrário dos últimos casos, estes foram detectados a nível de hardware e não de software, tornando sua solução bem mais complexa. Soma-se a isso o fato de que um dos líderes do segmento teve seus processadores afetados e temos um cenário de total insegurança tanto para usuários domésticos quanto para empresas.

Em linhas gerais, as vulnerabilidades recém-descobertas, batizadas como Meltdown e Spectre, permitem que um programa acesse regiões de memória utilizadas por outros programas em execução na máquina, permitindo a leitura ou até mesmo alteração dos dados em processamento.

Isso abre espaço para a criação de diversos códigos maliciosos (malwares), que poderão ser disseminados pelas mais diversas formas já conhecidas, até mesmo acessando-se páginas web, objetivando conseguir dados sensíveis de usuários de sistemas computacionais sem deixar qualquer rastro que permita identificar a violação ou sua origem.

Como as vulnerabilidades estão presentes no hardware dos processadores, resta aos fabricantes de sistemas operacionais desenvolver soluções de contorno que implementem mecanismos que garantam que áreas de memória fiquem reservadas, exclusivamente, para os programas que a estão utilizando.

‍

A seguir estão listados alguns avisos de segurança já disponibilizados por algumas empresas:

Intel: https://security-center.intel.com/advisories.aspx?rdst_srcid=1063724 / https://newsroom.intel.com/news/intel-responds-to-security-research-findings/?rdst_srcid=1063724

‍Microsoft: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002?rdst_srcid=1063724

‍Amazon: https://aws.amazon.com/de/security/security-bulletins/AWS-2018-013?rdst_srcid=1063724

‍ARM: https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html?rdst_srcid=1063724

‍Google: https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html?rdst_srcid=1063724

‍MITRE:CVE-2017-5715 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2017-5715&rdst_srcid=1063724

‍CVE-2017-5753 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2017-5753&rdst_srcid=1063724

‍CVE-2017-5754 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2017-5754&rdst_srcid=1063724

‍Red Hat: https://access.redhat.com/security/vulnerabilities/speculativeexecution?rdst_srcid=1063724

‍SUSE: https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/?rdst_srcid=1063724

‍CERT: http://www.kb.cert.org/vuls/id/584653?rdst_srcid=1063724

A Trust Control recomenda que sejam aplicadas as últimas atualizações de segurança disponíveis para seus dispositivos, seja a nível doméstico ou corporativo, bem como para a solução de antimalware.

Caso deseje conhecer as soluções do nosso portfólio e como elas podem auxiliá-lo na proteção de seus dispositivos, entre em contato conosco e agende uma visita dos nossos consultores. Para um detalhamento técnico acerca das vulnerabilidades Meltdown e Spectre, consultem o seguinte material:

Artigos sobre o Meltdown
‍https://meltdownattack.com/meltdown.pdf?rdst_srcid=1063724
‍http://blog.cyberus-technology.de/posts/2018-01-03-meltdown.html?rdst_srcid=1063724

‍Vídeos sobre o Meltdown
‍https://youtu.be/bReA1dvGJ6Y
‍https://youtu.be/RbHbFkh6eeE

‍Artigo sobre o Spectre
‍https://spectreattack.com/spectre.pdf?rdst_srcid=1063724

‍

‍Autor: Carlos Eduardo Santos - Sócio Diretor Trust Control
‍E-mail: carlos.eduardo@trustcontrol.com.br
‍Linkedin: https://www.linkedin.com/in/carloseduardosantos