Sous les appellations Meltdown et Spectre, le monde informatique dans son ensemble a pris cette semaine connaissance de l'existence de trois vulnérabilités dans les processeurs pouvant conduire à des fuites d'informations sensibles. Elles ont été découvertes par des chercheurs en sécurité.
La faute incombe principalement à un défaut de conception et des fonctionnalités des processeurs modernes afin d'améliorer leurs performances, comme l'exécution d'instructions selon la disponibilité de ressources pour les calculs et l'exécution spéculative.
L'exploitation de la faille Meltdown permet d'accéder à la mémoire d'espace noyau (ou mémoire du système en mode noyau) depuis un programme exécuté en mode utilisateur. Pour les attaques potentielles s'appuyant sur Spectre, une exploitation peut par exemple se faire via JavaScript et permettre à des processus malveillants d'accéder à des données d'autres programmes de la mémoire virtuelle.
Meltdown n'affecte que des processeurs Intel, tandis que Spectre concerne des processeurs Intel, AMD et ARM. Pour Meltdown, des patchs existent au niveau des systèmes d'exploitation afin de renforcer la séparation entre les zones de mémoire en mode noyau et mode utilisateur. Pour Spectre, l'affaire est plus délicate (tout comme l'exploitation), même si des mesures d'atténuation sont déployées contre des exploits avec des mises à jour des navigateurs.
Particulièrement touché par les trouvailles autour de Meltdown et Spectre qui ont été communiquées aux fondeurs en juin 2017, Intel a opéré une communication de crise et poursuit sur sa lancée. Intel assure que d'ici la fin de la semaine prochaine, des mises à jour auront été diffusées pour plus de 90 % de ses processeurs introduits ces cinq dernières années.
Intel fait référence à des ordinateurs personnels et des serveurs, et assure que ces systèmes seront immunisés contre les exploits Meltdown et Spectre. " De plus, de nombreux fournisseurs de systèmes d'exploitation, services de cloud, fabricants de périphériques et autres ont indiqué qu'ils avaient déjà mis à jour leurs produits et services. "
Sur l'impact des mises à jour sur les performances, Intel continue de considérer que l'utilisateur moyen ne sera éventuellement touché que de manière peu significative. Dans tous les cas, le groupe ajoute qu'un impact initial sur les performances (fonction de la charge de travail) devrait être atténué au fil du temps, dont avec l'amélioration des mises à jour.
En parlant d'immunisation pour à la fois Meltdown et Spectre, Intel fait preuve d'une étonnante assurance, d'autant que pour des experts en sécurité, le cas de Spectre est véritablement épineux.
