CCN-CERT AL 03/17 Vulnerabilidad de los sistemas de protección de memoria

 
  ALERTAS  
     
 

ANC, ataque que afecta al sistema de protección ASLR y cache

Publicado el:
Fecha alerta: 20/02/2017

Se ha publicado una vulnerabilidad que afecta a la protección ASLR (Address Space Layout Randomization), uno de los principales sistemas de protección de memoria que genera de forma aleatoria la ubicación donde los programas se ejecutan, independientemente del sistema operativo que se utilice (Windows, McOS, Linux).

La vulnerabilidad afecta a la forma en que los microprocesadores y la memoria interactúan entre sí y puede ser explotada, entre otros mecanismos, mediante JavaScript. Por este motivo, un usuario al entrar en una página web puede ser infectado por algún código dañino que obtenga el control completo del ordenador.

El ataque, denominado AnC o ASLR Cache, ha sido descubierto por un grupo de investigadores de la Universidad holandesa de Vrije, que ha publicado dos trabajos de investigación, junto con dos vídeos en los que se muestra el funcionamiento de la explotación de la vulnerabilidad.

Medidas de protección

Como principal medida de protección, se recomienda impedir la ejecución de “Javascript” en los navegadores o utilizar “plugins” como NoScript que evitan el uso de de este lenguaje de programación. Aun así, es preciso tener en cuenta que esta vulnerabilidad puede ser ejecutada en local o usando vías distintas al Javascript.

Del mismo modo, se aconseja revisar las actualizaciones de los sistemas operativos utilizados, para que queden protegidos según publiquen sus parches o actualizaciones. De hecho, el equipo de VUSec ya notificó la vulnerabilidad a todos los fabricantes de chips y empresas de software afectados, como Intel, AMD, Samsung, Nvidia, Microsoft, Google, Mozilla y Apple (que publicó el parche el día 23 de enero).

Información de la Universidad Vrije

Atentamente,

Equipo CCN-CERT

//////////////////////////////////////////////////////////////////////////////////////////

Esta es una lista de notificaciones del CCN-CERT.

Por favor, no responda a este correo. Si necesita más información, póngase en contacto con nosotros a través del correo:

Este enderezo de correo está a ser protexido dos robots de correo lixo. Precisa activar o JavaScript para velo. Este enderezo de correo está a ser protexido dos robots de correo lixo. Precisa activar o JavaScript para velo.

Síganos en:

www.ccn-cert.cni.es

//////////////////////////////////////////////////////////////////////////////////////////

El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN (www.ccn.cni.es). Este servicio se creó en el año 2006 como CERT Gubernamental/Nacional español y sus funciones quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia, el RD 421/2004 regulador del CCN y en el RD 3/2010, de 8 de enero, regulador del Esquema Nacional de Seguridad (ENS), modificado por el RD 951/2015 de 23 de octubre.

De acuerdo a todas ellas, es competencia del CCN-CERT la gestión de ciberincidentes que afecten a sistemas del Sector Público, a empresas y organizaciones de interés estratégico para el país y a cualquier sistema clasificado. Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas.

---------------------
Claves PGP Públicas
---------------------
Este enderezo de correo está a ser protexido dos robots de correo lixo. Precisa activar o JavaScript para velo. / Este enderezo de correo está a ser protexido dos robots de correo lixo. Precisa activar o JavaScript para velo.
--------------------
Fingerprint: 4E02 00AE B06B 9E9D 20FE D3FF 8CC9 CC95 949A 0AA6
Descarga
--------------------

//////////////////////////////////////////////////////////////////////////////////////////

AVISO DE CONFIDENCIALIDAD:
El presente mensaje va dirigido de manera exclusiva a su destinatario.
Si usted no es el destinatario de este mensaje (o la persona responsable de su entrega), considérese advertido de que lo ha recibido por error, así como de la prohibición legal de realizar cualquier tipo de uso, difusión, reenvío, impresión o copia del mismo. Si ha recibido este mensaje por error, por favor notifíquelo al remitente y proceda a destruirlo inmediatamente.

 
     
© 2017 Centro Criptológico Nacional, Argentona 20, 28023 MADRID
Ministerio de Defensa
CNI
CCN
CCN-CERT