Meltdown (vulnérabilité)
Cet article concerne un événement en cours.
Ces informations peuvent manquer de recul, changer à mesure que l’événement progresse ou ne pas prendre en compte des développements récents. Le titre lui-même peut être provisoire. N’hésitez pas à l’améliorer en veillant à citer vos sources.
La dernière modification de cette page a été faite le 4 janvier 2018 à 12:17.
Meltdown est une vulnérabilité matérielle trouvée exclusivement dans les microprocesseurs Intel x86 qui permet à un processus non autorisés l'accès privilégié de la mémoire. La vulnérabilité ne semble pas affecter de microprocesseurs AMD. Il a été émis un code "Common vulnerabilities and Exposures CVE-2017-5754.
Historique
Meltdown a été découvert indépendamment par des chercheurs de Google's Project Zero, Cyberus Technology, et de l' Université de Technologie de Graz. Il a été rendu public en conjonction avec une autre vulnérabilité, Spectre, le 3 janvier 2018[1].
Impact
Selon les chercheurs, "chaque processeur Intel qui implémente l'exécution Out-of-Order est potentiellement affecté, ce qui est effectivement le cas de tous les processeurs depuis 1995 (sauf Intel Itanium et Intel Atom avant 2013)." [2]
Cette vulnérabilité devrait avoir un impact sur les principaux fournisseurs de services cloud tels que Amazon Web Services (AWS) et Google Cloud Platform[2] [3]. Les fournisseurs de cloud permettent aux utilisateurs d'exécuter des programmes sur les mêmes serveurs physiques où des données sensibles peuvent être stockées et s'appuient sur les protections fournies par le CPU pour empêcher l'accès non autorisé aux emplacements de mémoire privilégiés où ces données sont stockées, une fonction que la vulnérabilité Meltdown semble être capable de contourner.
L'un des auteurs du rapport signale que la paravirtualisation (Xen) et les conteneurs comme Docker, LXC et OpenVZ sont affectés[2] [3]. Ils signalent que l'attaque sur une machine entièrement virtualisée permet à l'espace utilisateur invité de lire à partir de la mémoire du noyau invité, mais pas de l'espace du noyau hôte.
Voir aussi
- Bug de la division du Pentium
- Pentium F00F bug (en)
- Martèlement de mémoire – effet secondaire imprévu dans les mémoires dynamiques à accès aléatoire (DRAM) qui provoque une fuite de charge électrique dans des cellules de mémoire
- Spectre (faille de sécurité) – une vulnérabilité affectant Intel, AMD et les processeurs ARM, et elles ne sont pas atténuées par KPTI
Notes et références
- Publication de Google Project Zero (en), 03/01/2018
- meltdownattack.com - site officiel de la vulnérabilité (en)
- Meltdown (en), article publié par Moritz Lipp, Michael Schwarz, Daniel Gruss, Thomas Prescher, Werner Haas, Stefan Mangard, Paul Kocher, Daniel Genkin, Yuval Yarom, Mike Hamburg