O Projeto Debian anunciou hoje a disponibilidade de pacotes de kernel e intel-microcode atualizados para todas as variantes suportadas do Debian GNU/Linux. Essas atualizações têm o propósito de abordar a recente vulnerabilidade conhecida como "Downfall", que afeta CPUs Intel, bem como a vulnerabilidade de hardware denominada "INCEPTION", que impacta CPUs AMD Zen.
Identificada por Daniel Moghimi, a vulnerabilidade "Downfall" (também referida como CVE-2022-40982) representa uma falha de hardware GDS (Gather Data Sampling), possibilitando acesso especulativo sem privilégios a dados armazenados previamente em registradores vetoriais.
Essa vulnerabilidade afeta as edições Debian GNU/Linux 11 "Bullseye" e Debian GNU/Linux 12 "Bookworm", permitindo a um usuário obter e extrair informações de outros usuários no mesmo sistema.
Conforme explicado por Daniel Moghimi, "Por exemplo, um aplicativo malicioso adquirido por meio de uma loja de aplicativos pode explorar a abordagem Downfall para adquirir informações sensíveis, incluindo senhas, chaves de criptografia e dados privados como informações bancárias, mensagens pessoais e e-mails."
Essa vulnerabilidade foi resolvida nas atualizações de kernel 5.10.179-5 para o Debian GNU/Linux 11 "Bullseye" e kernel 6.1.38-4 para o Debian GNU/Linux 12 "Bookworm". No entanto, para uma mitigação completa da vulnerabilidade, os usuários também devem implementar o pacote intel-microcode 3.20230808.1~deb11u1.
A atualização de microcódigo intel recém-lançada também aborda a falha CVE-2022-41804, relacionada a injeção de erros não autorizados no Intel SGX ou Intel TDX para determinadas CPUs Intel Xeon, o que pode permitir que um usuário local eleve potencialmente seus privilégios. Além disso, a mesma atualização trata da falha CVE-2023-23908, que levaria a um controle de acesso inadequado em algumas CPUs escaláveis Intel Xeon de 3ª geração, resultando em uma possível exposição de informações.
Além disso, as atualizações mais recentes de segurança para o kernel do Debian Bullseye e Bookworm também resolvem a vulnerabilidade conhecida como CVE-2023-20569 ou "INCEPTION". Descoberta por Daniel Trujillo, Johannes Wikner e Kaveh Razavi, essa vulnerabilidade possibilita que um invasor treine de maneira incorreta o Branch Target Buffer (BTB) da CPU, fazendo previsões incorretas de instruções CALL não arquitetônicas no espaço do kernel. Isso, por sua vez, poderia ser explorado pelo invasor para direcionar especulativamente um retorno (RET) subsequente do kernel, resultando em potenciais divulgações de informações por meio de ataques especulativos de canal lateral.
Para atenuar as vulnerabilidades "Downfall" e "INCEPTION", o Projeto Debian orienta todos os usuários das versões Bullseye e Bookworm a atualizarem seus pacotes de kernel e intel-microcode para as versões mais recentes disponíveis nos repositórios, tão logo quanto possível.
A fim de realizar as atualizações, os usuários devem executar o comando sudo apt update && sudo apt full-upgrade em um emulador de terminal.
