Après l’abandon, la technologie SGX d’Intel perturbe toujours la sécurité des utilisateurs

After deprecation, Intel

Oops : Intel a décidé d’abandonner la solution DRM intégrée connue sous le nom de Software Guard Extensions (SGX) pour ses derniers processeurs clients, mais la technologie est toujours utilisée et développée sur les processeurs serveur et cloud appartenant à la gamme Xeon. Les bugs et les failles de sécurité sont toujours là aussi.

Juste à temps pour le mardi des correctifs de Microsoft pour février 2023, Intel a également publié 31 nouveaux test de sécurité pour sa technologie de processeur le 14 février. Certains de ces test concernent les extensions de processeur SGX, avec cinq vulnérabilités de sécurité répertoriées CVE différentes trouvées dans les processeurs Xeon, Processeurs principaux et dans le kit de développement logiciel (SDK) officiel.

Deux des vulnérabilités SGX susmentionnées sont liées à une potentielle élévation des privilèges qui pourrait divulguer des données sensibles, ce qui est exactement le type de problèmes de sécurité que les extensions SGX ont été conçues pour résoudre en utilisant des zones de mémoire cryptées appelées « enclaves ».

La vulnérabilité CVE-2022-38090 a été classée avec un niveau de gravité CVSS « moyen », et selon Intel, elle pourrait entraîner une « isolation incorrecte des ressources partagées » dans certains processeurs lors de l’utilisation d’enclaves SGX pour une éventuelle divulgation d’informations via un accès local. Les processeurs concernés incluent les gammes Core de 9e et 10e génération (les derniers processeurs clients prenant en charge les applications SGX), les processeurs de serveur Xeon Scalable et Xeon D de 3e génération.

Apres labandon la technologie SGX dIntel perturbe toujours la securite

De plus, la vulnérabilité CVE-2022-33196 concerne les « autorisations par défaut incorrectes » dans certaines configurations de contrôleur de mémoire, ce qui pourrait permettre à un utilisateur privilégié d’activer l’élévation des privilèges via un accès local. Ce bug particulier a un indice de gravité « élevé » et il n’affecte que les processeurs de classe serveur appartenant aux gammes Xeon Scalable et Xeon D de 3e génération.

D’autres bugs liés à SGX ont été trouvés par des chercheurs en sécurité dans le SDK officiel de SGX, où une « vérification des conditions incorrecte » (CVE-2022-26509) et une « gestion insuffisante du flux de contrôle » (CVE-2022-26841) pourraient conduire à une divulgation potentielle d’informations. via un accès local. Ces deux vulnérabilités ont un indice de sécurité « faible » et elles ont déjà été résolues avec une nouvelle mise à jour logicielle du SDK pour les plates-formes Windows et Linux.

En ce qui concerne les bugs SGX liés au processeur, Intel recommande d’installer les dernières mises à jour de firmware disponibles pour éviter les problèmes potentiels et renforcer la sécurité du système (ou du serveur). Les mises à jour du firmware sont également importantes pour les vulnérabilités non liées à SGX, car les test de sécurité d’Intel de février fournissent des correctifs pour un bug d’élévation des privilèges de niveau élevé dans Intel Server Platform Services (SPS) (CVE-2022-36348), un niveau élevé de escalade de faille de privilège via un accès réseau adjacent sur les processeurs évolutifs Xeon de 3e génération et plus encore.

Découvrez le reportage du mois (sous-titré en français), l’IA gagnera t-elle face aux champion du monde du jeu de Go ? :

YouTube video