A diferencia de las vulnerabilidades anteriores del canal lateral reveladas en las CPU de Intel, los investigadores han descubierto una nueva falla que puede explotarse de forma remota a través de la red sin requerir que un atacante tenga acceso físico o algún malware instalado en la computadora objetivo.

Apodado NetCAT [Paper], abreviatura de Network Cache ATtack, la nueva vulnerabilidad de canal lateral basada en la red podría permitir a un atacante remoto detectar datos confidenciales, como la contraseña SSH de alguien, en la caché de la CPU de Intel.

Descubierta por un equipo de investigadores de seguridad de la Universidad de Vrije en Amsterdam, la vulnerabilidad, registrada como CVE-2019-11184, reside en una función de optimización del rendimiento llamada DDIO ( Data-Direct I/O) de Intel, que por diseño permite a dispositivos de red y otros periféricos acceder a la caché de la CPU.

DDIO viene habilitado de manera predeterminada en todos los procesadores Intel para servidores desde 2012, incluidas las familias Intel Xeon E5, E7 y SP.

Según los investigadores, el ataque de NetCAT funciona de manera similar a Throwhammer al enviar únicamente paquetes de red especialmente diseñados a una computadora específica que tiene habilitada la función de acceso directo a memoria remota (RDMA).
RDMA permite a los atacantes espiar los periféricos remotos del lado del servidor, como las tarjetas de red, y observar la diferencia de tiempo entre un paquete de red que se sirve desde la caché del procesador remoto frente a un paquete servido desde la memoria.

Aquí la idea es realizar un análisis de sincronización de pulsación de tecla para recuperar palabras escritas por una víctima usando un algoritmo de aprendizaje automático contra la información de tiempo.

"En una sesión SSH interactiva, cada vez que presiona una tecla, los paquetes de red se transmiten directamente. Como resultado, cada vez que una víctima escribe un carácter dentro de una sesión SSH cifrada en su consola, NetCAT puede calcular el tiempo del evento al filtrar la hora de llegada del paquete de red correspondiente", explica el equipo de VUSec.

"Ahora, los humanos tienen distintos patrones de escritura. Por ejemplo, escribir una "s" justo después de una "s" es más rápido que escribir una "g" después de una "s". Como resultado, NetCAT puede realizar análisis estáticos de los tiempos entre paquetes de llegadas en lo que se conoce como un ataque de tiempo de pulsación de tecla para filtrar lo que escribe en su sesión SSH privada".

"En comparación con un atacante local nativo, el ataque de NetCAT desde toda la red solo reduce la precisión de las pulsaciones de teclas descubiertas en un promedio de 11.7% al descubrir la llegada de paquetes SSH con una verdadera tasa positiva de 85%".

El equipo de VUSec también ha publicado un video, que demuestra un método para espiar sesiones SSH en tiempo real con nada más que un servidor compartido.
NetCAT se convierte en la nueva vulnerabilidad de canal lateral unida a la lista de otras vulnerabilidades de canal lateral peligrosas descubiertas en el último año, incluidas Meltdown y Spectre, TLBleed, Foreshadow, SWAPGS y PortSmash.

En su aviso, Intel reconoció el problema y recomendó a los usuarios que deshabiliten completamente DDIO o al menos RDMA para hacer que tales ataques sean más difíciles, o sugirieron limitar el acceso directo a los servidores desde redes no confiables.

La compañía asignó a la vulnerabilidad de NetCAT una calificación de gravedad "baja", describiéndola como un problema de divulgación de información parcial, y otorgó una recompensa al equipo de VUSec por la divulgación responsable.

Fuente: THN