À propos des vulnérabilités de l’exécution spéculative au sein des processeurs basés sur l’architecture ARM et Intel

• Apple a publié des mises à jour de sécurité pour macOS Sierra et El Capitan, qui comprennent des mesures correctives pour Meltdown.

• Apple a publié des mises à jour pour iOS, macOS High Sierra et Safari sous Sierra et El Capitan, qui visent à améliorer la protection contre Spectre.

• L’Apple Watch n’est pas affectée par les failles Meltdown et Spectre.

Une équipe de chercheurs a récemment découvert deux failles de sécurité connues sous les noms de Meltdown et Spectre. Ces failles s’appliquent à tous les processeurs actuels et affectent quasiment tous les appareils informatiques et systèmes d’exploitation. Tous les systèmes Mac et appareils iOS sont concernés, mais aucune attaque connue n’a été signalée à l’heure actuelle. L’exploitation de la plupart des failles de ce type nécessite le chargement d’une application malveillante sur votre Mac ou votre appareil iOS. Nous vous recommandons donc de télécharger les logiciels uniquement à partir de sources de confiance telles que l’App Store.

Apple a d’ores et déjà intégré des mesures correctives dans iOS 11.2, macOS 10.13.2 et tvOS 11.2 afin d’améliorer la protection contre Meltdown. Les mises à jour de sécurité pour macOS Sierra et OS X El Capitan intègrent également des mesures correctives pour Meltdown. Afin d’améliorer la protection contre Spectre, Apple a intégré des mesures correctives dans iOS 11.2.2, la mise à jour supplémentaire pour macOS High Sierra 10.13.2 et Safari 11.0.2 pour macOS Sierra et OS X El Capitan. L’Apple Watch n’est pas affectée par les failles Meltdown et Spectre.

Nous continuons à développer et à tester d’autres mesures correctives pour ces failles.

Informations générales

Les failles Meltdown et Spectre exploitent une fonctionnalité de performance des processeurs actuels, appelée « exécution spéculative ». L’exécution spéculative accélère les performances en traitant plusieurs instructions simultanément, éventuellement dans un ordre différent de celui dans lequel elles ont été transmises au processeur. Afin d’améliorer les performances, le processeur prédit la destination d’un branchement susceptible d’être suivi, puis poursuit l’exécution des instructions de manière spéculative vers cette destination, avant même que le branchement ne soit totalement traité. Si la prédiction s’avère incorrecte, l’exécution spéculative est annulée de manière invisible pour le logiciel.

Meltdown et Spectre exploitent l’exécution spéculative pour accéder à la mémoire protégée, dont celle du noyau, à partir d’un processus de niveau de privilège inférieur, comme une application malveillante s’exécutant sur un appareil.

Meltdown

Meltdown est le nom donné à une faille d’exploitation appelée CVE-2017-5754 ou « rogue data cache load ». La faille Meltdown peut permettre à un processus utilisateur de lire la mémoire du noyau. Selon notre analyse, cette faille présente les probabilités d’exploitation les plus importantes. Apple a intégré des mesures correctives pour Meltdown dans iOS 11.2, macOS 10.13.2 et tvOS 11.2, ainsi que dans la mise à jour de sécurité 2018-001 pour macOS Sierra et la mise à jour de sécurité 2018-001 pour OS X El Capitan. watchOS ne nécessite aucune mesure corrective.

Des tests réalisés à l’aide de benchmarks publics ont montré que les modifications apportées par les mises à jour de décembre 2017 n’entraînent aucune réduction mesurable des performances de macOS et d’iOS sous GeekBench 4, ou sous les principaux benchmarks de navigateur Web comme Speedometer, JetStream et ARES-6.

Spectre

Spectre est le nom donné à un groupe de failles d’exploitation comprenant, à l’heure actuelle, CVE-2017-5753, ou « bounds check bypass », CVE-2017-5715, ou « branch target injection », et CVE-2018-3639, ou « speculative bounds bypass ». Ces failles permettent potentiellement aux processus utilisateur d’accéder aux éléments de la mémoire du noyau en profitant du délai requis par le processeur pour vérifier la validité d’un appel d’accès à la mémoire.

L’analyse de ces failles a révélé que, bien qu’extrêmement difficiles à exploiter, y compris par une application s’exécutant localement sur un Mac ou un appareil iOS, elles peuvent l’être par l’intermédiaire d’un code JavaScript exécuté dans un navigateur Web. Le 8 janvier, Apple a publié des mises à jour pour Safari sous macOS et iOS afin de réduire les risques associés à ces failles. Les tests effectués après l’instauration des mesures correctives pour Safari ont révélé que ces mesures n’avaient aucune incidence mesurable sur les tests Speedometer et ARES-6, tandis qu’elles avaient un impact inférieur à 2,5 % sur le test de performances Jetstream. Nous continuons à développer et à tester d’autres mesures correctives à intégrer au système d’exploitation pour remédier aux failles Spectre. watchOS n’est pas affecté par Spectre.