Accueil
Cyberécurité

Meltdown et Spectre sont les deux vulnérabilités de sécurité qui affectent presque tous les processeurs

Cédric Mialaret
Cyberécurité

Hier, The Register informait d’un bogue de sécurité affectant les processeurs Intel modernes, i.e. des dix dernières années.

Aujourd’hui, il est dévoilé officiellement : il s’agit de Meltdown.

Meltdown

Meltdown casse les barrières fondamentales qui séparent les applications du système d’exploitation, ce qui permet à un logiciel malveillant de voler les informations confidentielles d’autres programmes, ou du système d’exploitation.

En voici une démonstration vidéo :

Par malheur, cette vulnérabilité de sécurité ne peut pas être corrigée par mise à jour du micrologiciel du processeur : un correctif logiciel est nécessaire pour chaque système d’exploitation. Son coût en performance serait loin d’être trivial : de 5 à 30 % selon les premières estimations, même s’il semble que l’utilisateur lambda d’applications de bureau et de jeux ne ressente pas l’impact.

Meltdown a été découvert indépendamment par trois équipes : Jann Horn (Google Project Zero) ; Werner Haas, Thomas Prescher (Cyberus Technology) ; et Daniel Gruss, Moritz Lipp, Stefan Mangard, Michael Schwarz (Université de technologie de Graz).

Trois variantes ont été rendues publiques :

CVE-2017-5753 : Variant 1 : un contrôle des limites qui n’est pas effectué
CVE-2017-5715 : Variant 2, injection de branche ciblée
CVE-2017-5754 : Variant 3, lecture pirate du cache

Tous les processeurs Intel depuis 1995 sont affectés, à l’exception d’Itanium et de processeurs Atom d’avant 2013. Les Cœurs ARM Cortex A15, A57, A72 et A75 sont également affectés. Les processeurs AMD ne sont pas affectés.

Les correctifs de sécurité sont disponibles pour Windows, Linux et macOS et sont téléchargeables avec les moyens habituels de mise à jour.

La plupart des instances AWS seraient déjà protégées. Google recommande l’installation des correctifs et le redémarrage des instances. Microsoft procède au déploiement de correctifs dans Azure.

 

Spectre

Spectre casse l’isolation fondamentale entre les applications. Ironie du sort, plus une application respecte l’état de l’art, plus elle est sensible à cette vulnérabilité.

Spectre est plus difficile à exploiter que Meltdown, mais également plus difficile à atténuer : aucun correctif global n’est connu à ce jour.

Les processeurs Haswell Xeon d’Intel sont affectés. Les processeurs AMD Ryzen, AMD FX et AMD Pro sont affectés, même si AMD insiste que la vulnérabilité ne se présente que dans des conditions rares. Les Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73 et A75 d’ARM sont vulnérables.

Spectre a été découvert par trois équipes indépendantes : Jann Horn (Google Project Zero) ; Paul Kocher (Université de Pennsylvanie), Daniel Genkin (Université du Maryland), Mike Hamburg (Rambus), Moritz Lipp (Université de technologie de Graz), and Yuval Yarom (Université d’Adelaide et Data61).

Des correctifs de sécurité doivent être appliqués aux hyperviseurs Xen, VMWare ESXi, VMWare Workstation et VMWare Fusion.

Le seul moyen fiable à 100 % pour ne pas être vulnérable est de remplacer les processeurs par des processeurs non vulnérables…