En términos de seguridad informática, no podía empezar peor el año 2018, con una de las vulnerabilidades que más dará que hablar durante los próximos meses. Los procesadores usados en Android (mayoritariamente ARM) también son vulnerables al fallo de seguridad Spectre. Google afirma que no tienen conocimiento de ninguna reproducción exitosa de esta vulnerabilidad que permite la divulgación de información no autorizada en dispositivos Android.

Parche de seguridad para Android corrige vulnerabilidad Spectre

Google afirma que no ha sido capaz de reproducir Spectre en ningún dispositivo Android, por lo que no cree necesario lanzar un parche específico para esta vulnerabilidad. Sin embargo, para que los usuarios queden seguros, afirma que el parche para la vulnerabilidad CVE-2017-13218 del Kernel de Android implementa una serie de controles que limita, aún más, los vectores de ataque de Spectre contra los procesadores ARM.

• https://support.google.com/faqs/answer/7622138

En la plataforma de Android, la explotación ha demostrado ser difícil y limitada en la mayoría de los dispositivos Android. El nivel de revisión de seguridad (SPL) de Android 2018-01-05 incluye mitigaciones que reducen el acceso a temporizadores de alta precisión que limitan los ataques a todas las variantes conocidas en los procesadores ARM. Estos cambios se lanzaron a los socios de Android en diciembre de 2017.

Las futuras actualizaciones de seguridad de Android incluirán mitigaciones adicionales. Estos cambios son parte de Linux upstream.

Los dispositivos Android compatibles con Google incluyen Nexus 5X, Nexus 6P, Pixel C, Pixel / XL y Pixel 2 / XL. Los usuarios deben aceptar las actualizaciones mensuales para enero de 2018 en Nexus o sus dispositivos asociados para recibir estas actualizaciones. Los dispositivos Pixel o los dispositivos asociados que utilizan actualizaciones del sistema A / B (sin interrupciones) instalarán automáticamente estas actualizaciones; los usuarios deben reiniciar sus dispositivos para completar la instalación.

Los dispositivos Nexus y Pixel admitidos con la última actualización de seguridad están protegidos.

• https://source.android.com/security/bulletin/2018-01-01

Los parches de seguridad de Android de enero de 2018 corrigen además 38 vulnerabilidades

Parches de Seguridad contra Spectre y Meltdown

Microsoft Windows

Herramienta gratuita de Steve Gibson llamada inSpectre para comprobación de vulnerabilidades Meltdown/Spectre sobre Windows:

• https://www.grc.com/files/InSpectre.exe

Microsoft publicó este miércoles una actualización de emergencia para Windows que se instalará automáticamente si usas Windows 10 y que puedes descargar de forma manual desde el menú de configuración de Windows 7 y Windows 8. Sin embargo, el parche podría entrar en conflicto con tu antivirus si este no actualiza antes una clave de registro específica.

Key="HKEY_LOCAL_MACHINE"Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat"Value Name="cadca5fe-87d3-4b96-b7fb-a231484277cc"Type="REG_DWORD”Data="0x00000000”

Para solventar el problema, Microsoft recomienda que contactes con el desarrollador de tu antivirus o uses Microsoft Security Essentials, la suite de seguridad gratuita de la propia Microsoft.

• https://support.microsoft.com/en-us/help/4056892/windows-10-update-kb4056892
• https://support.microsoft.com/en-us/help/4072699/important-information-regarding-the-windows-security-updates-released

GNU/Linux

La comunidad de desarrolladores de Linux ha estado rápida en actualizar el kernel del sistema operativo para enmendar la vulnerabilidad que afecta a los procesadores. La versión 4.15 del núcleo parchea el problema sin afectar demasiado al rendimiento de juego del sistema, y ya se encuentra en su fase rc6 (sexta release candidate). Se espera que aparezca en las grandes distribuciones del sistema operativo en los próximos días.

• https://lkml.org/lkml/2017/12/4/709
• https://github.com/IAIK/KAISER

En caso de Linux, podemos utilizar la herramienta spectre-meltdown-checker que podemos encontrar en GitHub, publicada por el usuario speed47. De forma muy similar al script de PowerShell anterior, nos avisa de si nuestro equipo es vulnerable a Spectre y Meltdown de forma simple.
Descargar y ejecutar el script es sencillo si habéis clonado proyectos de GitHub anteriormente. Por si acaso, los comandos a ejecutar son los siguientes:

git clone https://github.com/speed47/spectre-meltdown-checker.git
cd spectre-meltdown-checker
sudo sh spectre-meltdown-checker.sh

macOS y iOS

Aunque aún no hay información oficial por parte de la compañía, Apple ya habría mitigado el problema con la versión 10.13.2 de su sistema operativo. Además estaría trabajando en una nueva actualización más segura. Por ahora, la única solución conocida para proteger tu Mac es instalar macOS High Sierra y mantener el sistema actualizado. High Sierra es compatible con la mayor parte de los Mac de finales de 2009 en adelante.

• https://support.apple.com/en-us/HT208394

Android

Google anunció una nueva actualización de seguridad para Android que estará disponible este viernes 5 de enero y contará con nuevos mecanismos para mitigar un posible ataque que acceda a la memoria del kernel. Si tienes un teléfono de marca Google (como un Nexus 5X o un Pixel), podrás instalarla mañana mismo, de lo contrario dependerás del fabricante de tu teléfono y posiblemente de tu operador.

Navegadores

Mozilla confirmó en su blog de seguridad que un ataque basado en JavaScript podría explotar los fallos de seguridad de Meltdown y Spectre, por lo que los navegadores también son vulnerables. La versión 57 de Firefox cambia la manera en que se comporta una función para mitigar el problema. Microsoft realizó algunos cambios similares en el comportamiento de Edge e Internet Explorer, que ya están disponibles con la última actualización de Windows de ayer.

• https://www.mozilla.org/en-US/security/advisories/mfsa2018-01/

Firefox:

about:config?filter=privacy.firstparty.isolate

Y Google ha anunciado la disponibilidad de Chrome 64 el próximo 23 de enero, una versión que activará este tipo de mecanismos de seguridad por defecto (también puedes habilitarlo manualmente desde chrome://flags/#enable-site-per-process en tu versión actual de Chrome).



Chrome/Chromium:

chrome://flags/

#enable-site-per-process

• https://www.chromium.org/Home/chromium-security/ssca