Fernando.VH en 20:36 20 ene 2026

2026-01-20T20:36:29Z

← Revisión anterior		Revisión del 20:36 20 ene 2026
Línea 115:		Línea 115:
	* <code>Confidential-Computing</code>		* <code>Confidential-Computing</code>
	* <code>Integrity-Failure</code>		* <code>Integrity-Failure</code>

			[[Categoría:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH: Descripción de campaña StackWarp

2026-01-20T20:36:04Z

Descripción de campaña StackWarp

Página nueva

=== 1. Nombre de la Campaña ===

* StackWarp (Nombre asignado por los investigadores, describe con precisión el núcleo del ataque: la manipulación del puntero de la pila).

=== 2. Nombres Alternativos / Aliases ===

* CVE-2025-29943 (Identificador oficial de vulnerabilidad de AMD).
* SEV-SNP Guest Stack Pointer Corruption Vulnerability (Título de la publicación oficial de AMD).

=== 3. Fecha de Detección / Actividad ===

* Fecha de divulgación pública: 15 de enero de 2026 (fecha de publicación del boletín de seguridad de AMD).
* Reporte a AMD: Antes de julio de 2025 (AMD ya había lanzado las primeras mitigaciones en esa fecha).
* Cronología de mitigaciones:
** Actualizaciones de microcódigo (<code>µcode</code>): 14 de julio de 2025.
** Actualizaciones AGESA/PI para procesadores de escritorio/servidor: Septiembre y diciembre de 2025.
** Actualizaciones AGESA para procesadores ''Embedded'' específicos: Previstas para abril de 2026.

=== 4. Actor de Amenaza (Atribución) ===

* Atribución actual: No atribuido a un grupo de amenaza específico. Esta es una vulnerabilidad de hardware descubierta y divulgada de manera responsable por investigadores académicos.
* Perfil del posible atacante: Un actor con privilegios de administrador (hipervisor) en un servidor host que ejecute máquinas virtuales (VM) confidenciales protegidas por SEV-SNP de AMD. Esto se ajusta típicamente a un atacante interno malicioso, un proveedor de infraestructura en la nube comprometido o un adversario que haya obtenido control total del host.

=== 5. Resumen Ejecutivo ===
StackWarp es una vulnerabilidad de nivel hardware en los procesadores AMD EPYC (arquitecturas Zen 3 a Zen 5) que explota una optimización microarquitectónica llamada "motor de pila" (''stack engine''). Permite a un hipervisor malicioso corromper el puntero de la pila (Stack Pointer) dentro de una Máquina Virtual Confidencial (CVM) protegida por SEV-SNP, el estándar de AMD para el cifrado y aislamiento de memoria de VM. Esto rompe las garantías de integridad de SEV-SNP, permitiendo al atacante secuestrar el flujo de ejecución, manipular datos confidenciales y lograr ejecución de código arbitrario dentro del entorno supuestamente aislado, sin necesidad de descifrar su memoria.

=== 6. Vectores de Ataque ===

* Vector Principal: Acceso Local. El atacante requiere control administrativo (nivel hipervisor) sobre el servidor físico host que aloja la VM objetivo.
* Mecanismo de Explotación: El ataque se ejecuta desde un hilo hermano de Simultaneous Multithreading (SMT), comúnmente llamado Hyper-Threading. El hipervisor malicioso configura un bit de registro no documentado en un núcleo de CPU compartido, afectando a la VM objetivo que se ejecuta en el otro hilo lógico del mismo núcleo.

=== 7. Técnicas, Tácticas y Procedimientos (TTPs) ===

* Técnica (MITRE ATT&CK): T1562.001 - Impair Defenses: Disable or Modify Tools. El ataque desactiva/modifica las protecciones de integridad a nivel hardware (SEV-SNP).
* Táctica: TA0005 - Defense Evasion. Se evade el mecanismo de aislamiento y confidencialidad de la máquina virtual.
* Procedimiento Específico: Manipulación de un bit de control de Model-Specific Register (MSR) no documentado para reconfigurar el pipeline de la CPU y corromper la operación del ''stack engine'', llevando a la corrupción del puntero de pila en el invitado.

=== 8. Flujo de Ataque (Kill Chain) ===

# Preparación: El atacante obtiene control privilegiado sobre el hipervisor de un servidor que ejecuta CVMs con SEV-SNP de AMD.
# Reconocimiento: Identifica una CVM de alto valor que se ejecuta en un núcleo de CPU con SMT habilitado.
# Armamentización y Entrega: Prepara código de explotación que se ejecutará en el hipervisor.
# Explotación: En el hilo SMT hermano al que ejecuta la CVM objetivo, el código malicioso escribe en el MSR no documentado para activar la vulnerabilidad.
# Instalación: La corrupción del puntero de pila dentro de la CVM permite al atacante redirigir el flujo de ejecución hacia código controlado por él.
# Acción sobre Objetivos: Se logran los objetivos finales: exfiltrar secretos (ej., claves RSA desde una firma), evadir autenticación (ej., SSH, sudo) o escalar privilegios dentro de la CVM.

=== 9. Infraestructura Utilizada (IOCs) ===

* N/A para IOCs tradicionales. Esta es una explotación de vulnerabilidad pura que no depende de dominios, IPs o hashes de archivo malicioso específicos. La "infraestructura" es el propio servidor físico comprometido.
* IOC Comportamental: Actividad sospechosa de un hipervisor que intenta escribir en registros de MSR reservados o no documentados, especialmente en núcleos con SMT activo que ejecutan CVMs.

=== 10. Objetivos y Sectores Atacados ===

* Objetivo Principal: Entornos de computación en la nube (cloud) o centros de datos privados que utilizan procesadores AMD EPYC afectados para ofrecer o alojar Máquinas Virtuales Confidenciales (CVM).
* Sectores de Impacto: Cualquier sector que dependa de la confidencialidad e integridad de cargas de trabajo en la nube: servicios financieros, sanidad, gobierno, tecnología.
* Víctima Final: Los clientes (inquilinos) cuyas CVMs están aisladas en un host comprometido por el atacante.

=== 11. Impacto y Riesgo ===

* Impacto Técnico:
** Pérdida de Integridad (High): Compromiso total de la integridad de la CVM, permitiendo la ejecución de código arbitrario.
** Pérdida de Confidencialidad (Medium-High): Posible exposición de datos sensibles y secretos criptográficos desde dentro de la CVM.
** Elusión de Seguridad (High): Neutralización de una de las principales características de seguridad (SEV-SNP) de la plataforma.
* Calificación de Riesgo:
** CVSS v4.0 (AMD): 4.6 (MEDIA). Vector: <code>CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N</code>
** Contexto: La puntuación es "Media" debido a los requisitos de privilegios altos (hipervisor) y acceso local. Sin embargo, el riesgo operativo es ALTO para entornos de nube que dependen de las garantías de SEV-SNP, ya que socava su modelo de seguridad fundamental.

=== 12. Indicadores de Compromiso (IOCs) ===

* IOCs de Comportamiento y Log:
** Comportamiento anómalo dentro de una CVM que indica corrupción de memoria o secuestro del flujo de control (crashes inexplicables, fallos de autenticación que liberan datos sensibles).
** Logs del hipervisor o de la plataforma que muestren intentos de modificar configuraciones de MSR críticas.
** Detección de lecturas exitosas de material crítico (ej., claves privadas) desde procesos aislados.
* Condición del Sistema:
** Hosts con procesadores AMD EPYC afectados (series 7003, 8004, 9004, 9005 y sus variantes ''Embedded'') que tengan SMT/Hyper-Threading habilitado y no tengan aplicadas las actualizaciones de microcódigo/firmware.

=== 13. Recomendaciones de Mitigación ===

# Aplicar Parches de Fabricante:
#* Prioridad CRÍTICA: Contactar al fabricante del equipo (OEM) para obtener e instalar las actualizaciones de BIOS/firmware que contengan el microcódigo (<code>µcode</code>) o las versiones AGESA/PI parcheadas. Consultar la tabla de productos afectados en el boletín de AMD para las versiones exactas.
# Medida de Contramedida Operativa (Temporal):
#* Para cargas de trabajo CVMs de máxima sensibilidad, considerar la deshabilitación del SMT (Simultaneous Multithreading / Hyper-Threading) en los hosts afectados hasta que se puedan aplicar los parches. Esto elimina el vector de explotación pero impacta el rendimiento.
# Gestión de Riesgo y Concienciación:
#* Auditar y mantener un inventario de todos los sistemas basados en AMD EPYC.
#* Comunicar el riesgo a los equipos de operaciones en la nube y seguridad, enfatizando la importancia de los parches de firmware para vulnerabilidades de hardware.

=== 14. Herramientas de Detección ===

* No existe una herramienta de detección de exploits universal. La detección es compleja debido a la naturaleza a nivel hardware del ataque.
* Estrategias de monitoreo:
** Monitoreo de Integridad del Host: Herramientas que auditen la configuración del firmware y el hipervisor en busca de cambios no autorizados.
** Monitoreo de Comportamiento de la CVM: Soluciones EDR (Endpoint Detection and Response) o monitoreo de integridad ''dentro'' de las CVMs para detectar actividad maliciosa resultante de una explotación exitosa.
** Análisis de Logs de Plataforma: Recopilación y análisis avanzado (SIEM) de logs del hipervisor y de la capa de gestión de la nube en busca de anomalías.

=== 15. Referencias y Fuentes ===

# AMD Security Bulletin (Fuente Primaria): AMD-SB-3027: SEV-SNP Guest Stack Pointer Corruption Vulnerability
# Base de Datos de Vulnerabilidades (NVD): NVD - CVE-2025-29943
# Artículo de Investigación/Noticias: The Hacker News - "New StackWarp Hardware Flaw Breaks AMD's SEV-SNP Protections on Zen 1 to 5 CPUs" (Enero 2026). Link al artículo ''(Nota: Link simulado basado en el contexto proporcionado)''.
# Vulnerabilidad Relacionada (CacheWarp): CVE-2023-20592, proporciona contexto sobre investigaciones previas del mismo equipo.

=== 16. Historial de Revisiones ===

* 2026-01-15: Publicación inicial del boletín por AMD.
* [Fecha de hoy]: Creación de esta entrada en la ciberwiki.

=== 17. Etiquetas / Categorías ===

* <code>Vulnerabilidad-Hardware</code>
* <code>AMD-EPYC</code>
* <code>SEV-SNP</code>
* <code>CVE-2025-29943</code>
* <code>Cloud-Security</code>
* <code>Hypervisor-Escape</code>
* <code>Confidential-Computing</code>
* <code>Integrity-Failure</code>

StackWarp - Historial de revisiones

Fernando.VH en 20:36 20 ene 2026

Fernando.VH: Descripción de campaña StackWarp