Meltdown et Spectre : failles qui réchauffent l’hiver

Vous avez entendu parler de Meltdown et Spectre, deux failles qui font trembler le monde informatique ? Pas de panique ! Si vous êtes un particulier ou une entreprise, il est déjà trop tard. L’une des vulnérabilités à plus de 15 ans.

Meltdown et Spectre, kesako ? S’il fallait simple, ces deux failles visent les microprocesseurs, les composants physiques de votre ordinateur, votre smartphone, votre console. Meltdown et Spectre permettraient, pour celui qui connait la technique, d’infiltrer n’importe quel machine sous Intel. Le pirate, capable de lire les données qui transitent par les puces de votre machine. Cela vise aussi bien les machines sous Windows, Linux ou les OS d’Apple. Les processeurs AMD et ARM sont aussi concernés.

Meltdown, est une variante de Spectre qui ne touche que les puces Intel, confirme le Projet Zero, le groupe d’experts en sécurité informatique de Google.

Spectre vise l’ensemble des puces AMD et ARM. La vulnérabilité peut tromper les applications vulnérables et faire fuiter le contenu de leur mémoire. Si le premier « bug » possède un correctif, Spectre n’a pour le moment aucun correctif de disponible. Celui-ci peut être exploité via JavaScript et WebAssembly ce qui le rend encore plus critique.

Patcher, corriger… prier ?

Il est recommandé d’appliquer certaines contre-mesures comme, sous Chrome, l’isolation du site. Mozilla Firefox déploie un correctif pour atténuer le problème tout en travaillant sur une solution à long terme. Microsoft fait des choses similaires pour Edge et Internet Explorer.

Le problème principal provient donc d’un défaut de conception qui peut permettre à des attaquants de vider le contenu de la mémoire de n’importe quel périphérique (Ordinateur personnel, smartphone, serveur cloud, etc.) en exposant les mots de passe et autres données sensibles.

Deux vulnérabilités critiques

Deux vulnérabilités critiques donc, pouvant permettre à des cyber attaquants de voler des informations sensibles depuis les applications en accédant à la mémoire centrale. Les applications installées sur un appareil fonctionnent habituellement sur un « mode utilisateur », à l’écart des parties les plus sensibles du système d’exploitation. Si une application requiert l’accès à une zone sensible, par exemple le disque sous-jacent, le réseau ou l’unité de traitement, elle doit demander l’autorisation de passer en « mode protégé ».

Dans le cas de Meltdown, un attaquant pourrait accéder au « mode protégé » et à la mémoire centrale sans avoir besoin d’autorisation, supprimant ainsi cette barrière. Il pourrait alors potentiellement dérober des données mémoire d’applications actives, telles que des données provenant de gestionnaires de mots de passe, de moteurs de recherche, mails, ainsi que les photos et documents personnels.

Depuis hier, c’est peut-être déjà trop tard !

« Comme il s’agit de problèmes matériels, les réparer représente un travail important. Des Patches contre Meltdown ont été diffusés pour Linux, Windows et OS X et le travail est en cours de réalisation pour renforcer les logiciels contre les futures exploitations de Spectre. souligne Ido Naor et Jornt van der Wiel de chez Kaspersky.

Bref, il est très important que les utilisateurs installent tous les patchs disponibles sans délai. Alors que les attaquant auront besoin de temps pour trouver comment exploiter les vulnérabilités, les patchs ouvriront une petite mais fondamentale fenêtre de protection.

Je m’inquiète plus pour les nombreux ordinateurs, en stock dans les magasins, les entrepôts, mis en vente et qui ne seront pas corrigés rapidement et resteront donc porteur d’un problème évidement. A noter que l’exploitation de deux failles ne laisse aucune trace dans les fichiers journaux traditionnels.