El 10 de noviembre de 2020, un equipo de investigadores académicos encontró un fallo en la arquitectura de las CPU de Intel que les permitía extraer información sensible del procesador, como claves de cifrado. Los investigadores denominaron a la vulnerabilidad Power Leakage Attacks: Targeting Your Protected User Secrets(PLATYPUS) por la capacidad del ornitorrinco de detectar la corriente eléctrica con su pico. Mediante la monitorización del consumo eléctrico, los investigadores pudieron determinar los datos que se procesaban a través de la interfaz Running Average Power Limit (RAPL). No se ha informado de ningún caso de exploit in the wild, pero Intel ha publicado una actualización del microcódigo que debería aplicarse a todos los servidores y dispositivos que utilicen el procesador. No se necesitan parches, como ocurrió con Zombieload o Spectre & Meltdown.

Intel recomienda instalar las actualizaciones proporcionadas por el fabricante del sistema, pero la instalación de actualizaciones de firmware requiere un reinicio. Tenemos instrucciones (más abajo) que le ayudarán a actualizar el microcódigo sin reiniciar, protegiendo así sus chips Intel. Esta mitigación sin reinicio sólo es aplicable a los chipsets Intel.

AMD también es potencialmente vulnerable y también ha publicado una actualización del microcódigo. En línea con los socios de la industria, AMD ha actualizado la interfaz RAPL para requerir acceso privilegiado. El cambio está en proceso de integración en las distribuciones de Linux.

Mitigación del PLATIPUS

Según los investigadores, PLATYPUS funciona más eficazmente en sistemas Linux, lo que significa que cualquier servidor que ejecute una distribución Linux en Intel puede ser vulnerable y el microcódigo debe actualizarse lo antes posible. Dado que PLATYPUS puede ejecutarse de forma remota, es fundamental que esta vulnerabilidad se mitigue rápidamente, pero el tiempo de inactividad también es un problema para los servidores de producción que gestionan servicios.

Puede mitigar PLATYPUS en Intel sin reiniciar con estos dos pasos:

1. Actualizar microcódigo sin reiniciar. El microcódigo de la CPU es la interfaz entre el software y la electrónica a nivel de máquina. Es el código que se ejecuta dentro de la propia CPU. Los cambios en el microcódigo se aplican normalmente al reiniciar el sistema operativo Linux, pero las instrucciones de KernelCare le mostrarán cómo actualizar el microcódigo sin reiniciar.
2. Ejecute el siguiente comando:

   sudo chmod 400 /sys/class/powercap/intel_rapl/*/energy_uj

Breve descripción de Platypus

Linux y otros sistemas operativos supervisan el consumo de energía mediante la interfaz RAPL de Intel. La interfaz RAPL está incluida tanto en los procesadores Intel como en los AMD y monitoriza el consumo de energía de la CPU para garantizar que el procesador no utiliza demasiada energía ni se sobrecalienta. Se puede acceder a la interfaz RAPL sin acceso administrativo, y esto da a un atacante la capacidad de monitorizar el consumo de energía e inferir valores basándose en las fluctuaciones. Se puede acceder a los valores notificados por RAPL sin permisos administrativos, e Intel soluciona el problema en su parche permitiendo únicamente el acceso de administrador.

Los investigadores combinaron la potencia de RAPL con el abuso de Software Guard Extensions (SGX) de Intel, una función de seguridad que traslada programas críticos, como el sistema operativo, a un entorno de memoria aislado denominado enclave. SGX puede ser abusado por un sistema operativo ya comprometido y realiza sus funciones de seguridad incluso con malware ejecutándose en el sistema.

Utilizando un sistema operativo comprometido, los investigadores lograron forzar al procesador a ejecutar miles de veces determinadas instrucciones dentro del enclave SGX y monitorizar el consumo de energía mediante la interfaz RAPL. Las oscilaciones en el consumo de energía se utilizaron para deducir datos, incluidas claves de cifrado privadas.

Hasta ahora, los ataques por canal lateral de potencia eran muy imprecisos a menos que el atacante tuviera acceso físico al dispositivo y estuviera equipado con un osciloscopio. Esta nueva investigación demuestra que los ataques al canal lateral de potencia pueden realizarse a distancia y con precisión. El seguimiento y los informes sobre PLATYPUS pueden consultarse en CVE-2020-8694 (Linux+Intel), CVE-2020-8695 (Intel), y CVE-2020-12912 (Linux+AMD).

Para las máquinas más antiguas, la buena noticia es que la vulnerabilidad sólo afecta a las nuevas generaciones del procesador Intel. 

Más información sobre cómo KernelCare aborda otras vulnerabilidades críticas:

1. Zombieload - CVE crítica de Linux afecta a casi todas las CPU Intel
2. Parches sin reinicio para "Bleeding Tooth" en camino
3. SWAPGS: Parches KernelCare en camino
4. SACK Pánico y Lentitud: Ya están aquí los parches KernelCare Live
5. RIDL - Otro ataque MDS del que Live Patching le habría salvado