solution Contentsolution Content

Falla de terminal L1 (L1TF)

Se ha identificado una nueva variante de canal lateral de ejecución especulativa llamada Falla de terminal L1 (L1TF).

Gravedad

Alta

Referencia de HP

HPSBHF03590 Rev. 2

Fecha de lanzamiento

14 de agosto de 2018

Última actualización

15 de agosto de 2018

Categoría

PC

Posibles riesgos para la seguridad

Exposición no autorizada de datos privilegiadas de la memoria.

Resumen

No hay ningún informe que diga que el L1TF haya sido utilizado en ataques reales. En la actualidad esto afecta a determinados procesadores de Intel. La eliminación requerirá actualizaciones de microcódigo que se lanzaron a principios de este año, además del sistema operativo y las actualizaciones de software hipervisor. En algunos casos, las directrices de Intel y Microsoft recomiendan su eliminación adicional, consulte los boletines para obtener más información.

En el siguiente enlace hay disponible más información:

Lista de vulnerabilidades y exposiciones comunes (CVE) relevantes

Informado por: Intel

Lista de ID de CVE

Referencia

Vector básico

Puntuación básica

CVE-2018-3615

CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

7.9

CVE-2018-3620

CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

7.1

CVE-2018-3646

CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

7.1

Obtenga más información sobre las métricas básicas de CVSS 3.0, que van de 0 a 10.

PSR-2018-0205

Antecedentes

Para obtener una versión de este boletín de seguridad con firma PGP, escriba a: hp-security-alert@hp.com

Referencias

CVE-2018-3615, CVE-2018-3620, CVE-2018-3646, Intel SA-00161, PSR-2018-0205

Resolución

La mitigación requiere de 2 a 4 pasos, dependiendo de si se utiliza un hipervisor.

  1. El microcódigo de CPU de Intel tenía parches con una actualización que se lanzó a principios de este año. La primera versión de BIOS con estas actualizaciones se enumeran en este . Las versiones posteriores del firmware del BIOS también contienen este parche microcódigo de Intel. Asegúrese de haber actualizado a la última versión del BIOS.

  2. Siga las instrucciones de su proveedor de sistema operativo. Para Microsoft Windows, este Aviso de seguridad (en inglés) tiene más detalles. Microsoft ha proporcionado parches a través de Windows Update. Otros proveedores de sistema operativo también están lanzando actualizaciones. Consulte sus sitios web para obtener más información sobre los parches y orientación.

  3. Si está utilizando un hipervisor (por ejemplo, Hyper-V), consulte a su proveedor de hipervisor para ver posibles actualizaciones.

  4. En algunos casos, la orientación de Intel y Microsoft sugiere una mitigación adicional para sistemas con hiperproceso. Consulte sus boletines para obtener más información. Si se ha instalado una contraseña de administrador del BIOS, necesita saber dicha contraseña.

    Para las plataformas comerciales de HP en un entorno gestionado esto puede realizarse usando el Kit de integración de manejabilidad HP plug-in para Microsoft SCCM (https://ftp.hp.com/pub/caps-softpaq/cmit/HPMIK.html) o el utilidad de configuración del BIOS de HP (https://ftp.hp.com/pub/caps-softpaq/cmit/HP_BCU.html).

    Como alternativa, puede realizar esta configuración del BIOS reiniciando el equipo y presionar F10 hasta que la pantalla de administración del BIOS aparezca, antes de que el equipo se inicie en el sistema operativo. La ubicación exacta y la opción de nombre cambia según las generaciones y los tipos de plataformas comerciales:

    • 2015 o posterior: Vaya a la pestaña Avanzadas en la parte superior del menú y seleccione Opciones de sistema. Luego seleccione Hyperthreading y haga clic para quitar la marca de esta opción.

    • Notebooks 2014: Vaya a la pestaña Avanzadas en la parte superior del menú y seleccione Configuración del dispositivo. Luego seleccione Intel HT Technology y haga clic para quitar la marca de esta opción.

    • Desktops 2014: Vaya a la pestaña Avanzadas en la parte superior del menú y seleccione Opciones del dispositivo. Luego seleccione Hyper-Threading y presione la barra espaciadora para desactivar esta opción.

    Consulte https://www.intel.com/content/www/us/en/architecture-and-technology/hyper-threading/hyper-threading-technology.html (en inglés) para obtener más información sobre la tecnología Intel hyperthreading.

Productos afectados

Utilice las tablas a continuación para encontrar los equipos de estaciones de trabajo de sobremesa, los productos de consumo y de uso comercial afectados.

Historial de revisiones

Este documento se ha revisado de acuerdo con la siguiente información.

Lista de versiones

Versión

Descripción

Fecha

2

Enlace roto reparado.

15 de agosto de 2018

1

Versión inicial

14 de agosto de 2018

Información adicional

Siga estos enlaces para obtener más información.

Parches de seguridad de terceros

Los parches de seguridad de terceros que se vayan a instalar en sistemas que usen productos de software HP se deben aplicar de acuerdo con la política de administración de parches del cliente.

Asistencia

Si experimenta problemas con la implementación de las recomendaciones de este boletín de seguridad, visite el sitio web http://www.hp.com/go/contacthp para conocer más sobre las opciones de soporte de HP.

Informe

Para informar de una posible vulnerabilidad de seguridad en cualquier producto con soporte técnico de HP, envíe un correo electrónico a: hp-security-alert@hp.com.

Archivo de boletines de seguridad

Para ver los boletines de seguridad publicados, visite https://support.hp.com/security-bulletins.

Se recomienda que la información relacionada con seguridad que se envía a HP se encripte con PGP, especialmente la información acerca de la vulnerabilidad.

Descargar clave PGP de alerta de seguridad de HP

Información legal

Los procedimientos de gestión y seguridad del sistema deben revisarse con frecuencia para mantener la integridad del sistema. HP revisa y mejora continuamente las características de seguridad de productos de software para ofrecer a los clientes soluciones seguras actuales.

HP está distribuyendo ampliamente este boletín de seguridad para llamar la atención de los usuarios de productos afectados de HP acerca de la información de seguridad importante contenida en este boletín de seguridad. HP recomienda que todos los usuarios determinen la aplicación de esta información a sus situaciones individuales y tomen las medidas adecuadas. HP no garantiza que esta información sea necesariamente precisa ni completa para todas las situaciones de usuario y, en consecuencia, HP no será responsable por los daños que resulten del uso o caso omiso de la información proporcionada en este boletín. En la medida en que lo permita la ley, HP rechaza todas las garantías, ya sean expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado, título y no infracción.

© Copyright 2018 HP Development Company, L.P.

HP Inc. (HP) no será responsable de los posibles errores u omisiones de redacción o de carácter técnico que aparezcan en este documento. La información incluida se proporciona “tal cual”, sin ningún tipo de garantía. En la medida permitida por la ley, ni HP ni sus filiales, subcontratistas o proveedores serán responsables de daños accidentales, especiales o consecuentes, entre otros, costes derivados de tiempos de inactividad; la pérdida de ganancias; los daños relacionados con la adquisición de productos o servicios sustitutos; o daños derivados de la pérdida de datos o restauración de software. La información que contiene este documento está sujeta a cambios sin previo aviso. “HP Inc.”, “HP” y los nombres de los productos HP a los que se hace referencia en este documento son marcas comerciales de HP Inc. o sus filiales en Estados Unidos y otros países. El resto de nombres de productos y empresas son marcas comerciales de sus respectivos propietarios.