Gabriel V.
Qu’est-il arrivé récemment ?
Nouvelles potentiellement préoccupantes pour les propriétaires de CPU Intel lancés entre 2015 et 2019 : une nouvelle vulnérabilité de sécurité a été découverte, qui pourrait permettre à des attaquants partageant le même ordinateur de voler des données sensibles aux utilisateurs, notamment des mots de passe, des clés de chiffrement, des e-mails et bien plus encore. Des correctifs sont en cours, mais dans certains cas, ils pourraient entraîner une baisse de performances massive.
Le chercheur de Google Daniel Moghimi a découvert la nouvelle vulnérabilité, baptisée Downfall. Il écrit que celle-ci est causée par des fonctionnalités d’optimisation de mémoire des processeurs Intel qui révèlent involontairement des registres matériels internes aux logiciels, permettant à des logiciels non fiables d’accéder aux données stockées par d’autres programmes, ce qui ne devrait normalement pas être possible.
« J’ai découvert que l’instruction Gather, destinée à accélérer l’accès à des données dispersées en mémoire, divulgue le contenu du fichier de registres vectoriels internes pendant l’exécution spéculative », a écrit Moghimi.
« Les opérations mémoire pour accéder à des données dispersées en mémoire sont très utiles et rendent les choses plus rapides, mais chaque fois que les choses sont plus rapides, il y a une sorte d’optimisation – quelque chose que les concepteurs font pour les rendre plus rapides », a ajouté le chercheur. « Sur la base de mon expérience passée de travail sur ce type de vulnérabilités, j’avais une intuition qu’il pourrait y avoir une fuite d’informations avec cette instruction. »
Downfall affecte les processeurs avec les ensembles d’instructions AVX2 et AVX-512, ce qui indique que les processeurs plus récents de la 12e génération Alder Lake, de la 13e génération Raptor Lake et de Sapphire Rapids ne sont pas concernés. Mais les processeurs de la 6e génération Skylake jusqu’aux processeurs de la 11e génération Rocket Lake et Tiger Lake sont exposés au risque.
Cependant, même ceux qui ne possèdent pas l’un de ces processeurs pourraient être vulnérables car Intel détient plus de 70% du marché des serveurs. Comme le dit le chercheur, tout le monde sur Internet est probablement concerné. « […] dans les environnements d’informatique en nuage, un client malveillant pourrait exploiter la vulnérabilité Downfall pour voler des données et des informations d’identification d’autres clients qui partagent le même ordinateur en nuage. »
Moghimi a démontré Downfall en volant des clés AES de 128 bits et de 256 bits à un autre utilisateur, des données arbitraires du Core Linux et en espionnant des caractères imprimables.
Intel, qui appelle cette faille Gather Data Sampling (GDS), a déjà publié un test de sécurité (INTEL-SA-00828) et réservé le CVE-2022-40982 en tant que CVE-ID. La société publie un bios pour les puces impactées qui bloque les résultats transitoires des instructions gather et empêche le code de l’attaquant d’observer les données spéculatives de Gather. L’inconvénient est que les performances peuvent chuter jusqu’à 50 % selon que Gather est dans le chemin d’exécution test d’un programme. Intel affirme n’avoir pas observé de réduction des performances pour la plupart des charges de travail.
Il y aura un mécanisme de désactivation dans le bios qui permet de désactiver la mitigation, évitant ainsi la baisse des performances, mais Moghimi affirme que c’est une mauvaise idée car « même si votre charge de travail n’utilise pas d’instructions vectorielles, les processeurs modernes utilisent des registres vectoriels pour optimiser des opérations courantes, telles que la copie de mémoire et le changement de contenu des registres, ce qui divulgue des données à un code non fiable exploitant Gather. »
Il s’agit de la deuxième grande vulnérabilité que nous avons vue en l’espace de quelques semaines. Zenbleed, qui affecte les CPU Ryzen 3000/4000/5000 et les processeurs d’entreprise Epyc, peut être utilisé pour voler des données sensibles telles que des mots de passe et des clés de chiffrement. Il peut également être réalisé à distance.
Découvrez le reportage du mois (sous-titré en français), l’IA gagnera t-elle face aux champion du monde du jeu de Go ? :
