Foreshadow : une nouvelle faille de sécurité dans les puces Intel

Pour Intel et plus d’un milliard d’ordinateurs qui dépendent de son processeur, les failles de sécurité au niveau du microprocesseur ne font que continuer.

Cette fois-ci, la société a été elle-même porteuse de mauvaises nouvelles en dévoilant une faiblesse baptisée “Foreshadow/Foreshadow-NG” au sein d’une technologie de sécurité appelée Software Guard Extensions (SGX) intégrée aux nouvelles puces Intel depuis 2015.

Intel a déclaré que Foreshadow lui avait été signalée pour la première fois par deux groupes de chercheurs dès janvier 2018. Cette vulnérabilité concerne les enclaves sécurisées créées par les instructions de la puce SGX et a été baptisée CVE-2018-3615.

Ensuite, les propres chercheurs de l’entreprise ont découvert d’autres variantes qui étendaient la faiblesse en question aux nouvelles puces Intel compatibles SG, utilisées dans des machines virtuelles ou des hyperviseurs.

Ces vulnérabilités supplémentaires ont été appelées respectivement CVE-2018-3620 et CVE-2018-3646.

Intel a eu vent de l’existence de Foreshadow quelques jours seulement après que les internautes du monde entier aient été informés des méga-failles Meltdown et Spectre.

Depuis lors, il y a eu une lente divulgation de nouvelles failles du processeur, y compris des signalements d’une faille appelée Spectre-NG en mai dernier, dont Foreshadow est l’exemple le plus récent et peut-être le plus significatif.

Foreshadow : de quoi s’agit-il ?

Foreshadow, décrit dans le langage d’Intel comme une “méthode side-channel appelée L1 Terminal Fault (L1TF)”, est une faiblesse dans une fonctionnalité de conception des puces Intel appelée “exécution spéculative”, et qui pourrait permettre à un cybercriminel potentiel d’accéder aux données chiffrées contenues dans l’enclave SGX spécifique de la puce en question.

Ces enclaves sont effectivement des zones isolées de la mémoire de la puce, que le processeur peut allouer aux applications pour garder les données sensibles hors de portée des autres logiciels, notamment des malwares.

Pour résumer, Foreshadow peut permettre, en théorie, à des données dans une enclave sécurisée d’être copiées ailleurs et ensuite consultées.

Foreshadow-NG va encore plus loin :

Foreshadow-NG peut également être utilisée pour lire des informations stockées sur d’autres machines virtuelles exécutées sur le même cloud tiers, présentant ainsi un risque pour l’infrastructure cloud en question.

Quelles puces Intel sont concernées ?

Si vous avez acheté un système Intel après la fin 2015 (à partir de Skylake), il y a de fortes chances qu’il contienne un processeur affecté (AMD et les autres fournisseurs qui n’utilisent pas SGX ne sont pas en danger) :

• Processeur Intel Core i3/i5/i7/M (45 nm et 32 ​​nm).
• Processeurs Intel Core de 2ème/3ème/4ème/5ème/6ème/7ème/8ème génération.
• Famille de processeurs Intel Core X-series pour plateformes Intel X99 et X299.
• Processeur Intel Xeon série 3400/3600/5500/5600/6500/7500.
• Famille des processeurs Intel Xeon E3 v1/v2/v3/v4/v5/v6.
• Famille des processeurs Intel Xeon E5 v1/v2/v3/v4.
• Famille de processeurs Intel Xeon E7 v1/v2/v3/v4.
• Famille évolutive du processeur Intel Xeon.
• Processeur Intel Xeon D (1500, 2100).

Correction et mitigation

Selon Intel, les systèmes sur lesquels les mises à jour du firmware, délivrées par Intel en début d’année, ont déjà été installées en plus des mises à jour applicables du système d’exploitation (voir les conseils de Microsoft), devraient déjà être protégés contre Foreshadow.

Cependant, dans les centres de données utilisant des hyperviseurs vulnérables vis à vis de Foreshadow-NG, les choses se compliquent, pour des raisons qu’Intel a exposées dans une vidéo.

Voici les propos d’Intel au sujet de ces mitigations :

Ces actions peuvent inclure l’activation de fonctionnalités spécifiques de planification d’un hyperviseur ou le choix de ne pas utiliser d’hyper-threading dans certains scénarios spécifiques.  

Il est clair que la solution à long terme d’Intel consiste à éliminer ces faiblesses sur les futures puces Intel. Compte tenu du nombre actuel de machines concernées, cela prendra du temps !

Comme pour Meltdown et Spectre, rien ne prouve qu’un cybercriminel ait exploité Foreshadow, ni qu’il constitue une cible privilégiée pour un hacker dans un contexte où le nombre de faiblesses logicielles, faciles à exploiter, est si grand !

Néanmoins, bien qu’il s’agisse de défauts de type preuve-de-concept pour le moment, il est difficile d’échapper au sentiment que les fabricants de puces et leurs clients ont encore beaucoup de travail à accomplir !

Billet inspiré de “Foreshadow” flaw found in Intel CPUs – what to do, sur Sophos nakedsecurity.