A diferencia de las vulnerabilidades anteriores del canal lateral reveladas en las CPU de Intel, los investigadores han descubierto una nueva falla que puede explotarse de forma remota a través de la red sin requerir que un atacante tenga acceso físico o cualquier malware instalado en una computadora objetivo.
Apodado NetCAT , abreviatura de Network Cache ATtack, la nueva vulnerabilidad de canal lateral basada en la red podría permitir a un atacante remoto detectar datos confidenciales, como la contraseña SSH de alguien, del caché de la CPU de Intel.
Descubierta por un equipo de investigadores de seguridad de la Universidad de Vrije en Amsterdam, la vulnerabilidad, registrada como CVE-2019-11184, reside en una función de optimización del rendimiento llamada DDIO de Intel, abreviatura de E / S directa de datos, que por diseño otorga dispositivos de red y otros periféricos acceden al caché de la CPU.
El DDIO viene habilitado de manera predeterminada en todos los procesadores Intel para servidores desde 2012, incluidas las familias Intel Xeon E5, E7 y SP.
Según los investigadores, el ataque de NetCAT funciona de manera similar a Throwhammer al enviar únicamente paquetes de red especialmente diseñados a un ordenador específico que tiene habilitada la función de acceso directo a memoria remota (RDMA).
RDMA permite a los atacantes espiar los periféricos remotos del lado del servidor, como las tarjetas de red, y observar la diferencia de tiempo entre un paquete de red que se sirve desde la caché del procesador remoto frente a un paquete servido desde la memoria.
Aquí la idea es realizar un análisis de sincronización de pulsación de tecla para recuperar palabras escritas por una víctima usando un algoritmo de aprendizaje automático contra la información de tiempo.
En una sesión SSH interactiva, cada vez que presiona una tecla, los paquetes de red se transmiten directamente. Como resultado, cada vez que una víctima escribe un carácter dentro de una sesión SSH encriptada en su consola, NetCAT puede perder el tiempo del evento al filtrar la hora de llegada del paquete de red correspondiente
VUSec
Ahora, los humanos tienen distintos patrones de escritura. Por ejemplo, escribir ‘justo después’ de a ‘es más rápido que escribir’ g ‘después de’. Como resultado, NetCAT puede operar análisis estáticos de los tiempos entre paquetes de llegadas en lo que se conoce como un ataque de tiempo de pulsación de tecla para filtrar lo que escribe en su sesión SSH privada.
En comparación con un atacante local nativo, el ataque de NetCAT desde toda la red solo reduce la precisión de las pulsaciones de teclas descubiertas en un promedio de 11.7% al descubrir la llegada de paquetes SSH con una verdadera tasa positiva de 85%.
El equipo de VUSec también ha publicado un vídeo, como se muestra arriba, que demuestra un método para espiar sesiones SSH en tiempo real con nada más que un servidor compartido.
NetCAT se convierte en la nueva vulnerabilidad de canal lateral unida a la lista de otras vulnerabilidades de canal lateral peligrosas descubiertas en el último año, incluidas Meltdown y Spectre , TLBleed , Foreshadow , SWAPGS y PortSmash .
En su aviso, Intel reconoció el problema y recomendó a los usuarios que deshabiliten completamente DDIO o al menos RDMA para hacer que tales ataques sean más difíciles, o sugirieron limitar el acceso directo a los servidores desde redes no confiables.
La compañía asignó a la vulnerabilidad de NetCAT una calificación de gravedad «baja», describiéndola como un problema de divulgación de información parcial, y otorgó una recompensa al equipo de VUSec por la divulgación responsable.
