Si eres usuario de PC posiblemente hayas escuchado el término TPM 2.0. Se trata de un requisito de Windows 11 que Microsoft hizo obligatorio para la instalación del sistema. Aquella decisión, que enfadó a muchos usuarios que no contaban con este chip en sus ordenadores, estaba justificada por los beneficios de seguridad que ofrecía.
La versión 2.0 de Trusted Plataform Module (Módulo de Plataforma de Confianza en español) se presentaba como una característica de seguridad para alimentar a funciones de autenticación segura, almacenamiento de contraseñas y cifrado. Ahora bien, recientemente se han detectados dos vulnerabilidades en la especificación TPM 2.0.
Cuál es el problema de TPM 2.0
Según Trusted Computing Group, la organización sin ánimos de lucro detrás de la especificación, el estado de vulnerabilidad de TPM 2.0 se presenta en un escenario de desbordamiento de memoria, también conocido como buffer overflow. Es decir, un tipo de vulnerabilidad muy utilizada para ejecutar ataques, aunque estos deben ser dirigidos.
Las dos vulnerabilidades, que han sido catalogadas como CVE-2023-1017 y CVE-2023-1018, deben ser explotadas de manera local en el ordenador y con código específicamente diseñado para tal fin. Sin embargo, los atacantes podrían recurrir a diversos métodos para cumplir su cometido sin estar necesariamente frente al ordenador de la víctima.
Recordemos que un desbordamiento de memoria se presenta cuando un programa supera el límite de memoria y escribe datos en el espacio adyacente. En concreto, el problema de TPM 2.0 radica en su biblioteca de módulos, que permite escribir o leer 2 bytes adicionales más allá de lo establecido en la rutina CryptParameterDecryption.
Si los atacantes consiguen, como si de un vaso de agua se tratase, desbordar la capacidad de memoria del mismo, podrían bloquear TPM 2.0, lo que anularía sus funcionalidades de seguridad. Además, explican los investigadores, sería posible ejecutar código arbitrario dentro de la memoria protegida y acceder a datos confidenciales.
La solución está en camino
El fallo de seguridad de TPM 2.0 se puede resolver instalando una actualización de firmware en los dispositivos afectados. Las compañías, por su parte, han empezado a tomar cartas en el asunto y Lenovo, que es el fabricante de PCs más grande del mundo, acaba de emitir un aviso de seguridad advirtiendo a sus usuarios.
Todavía es pronto para calcular el alcance y los riesgos reales de las mencionadas vulnerabilidades. Sin embargo es importante tenerlas en cuenta por si el fabricante de nuestro ordenador lanza una nueva versión del firmware. Una simple actualización puede ayudarnos a evitar potenciales problemas de seguridad.