À propos des vulnérabilités de l’exécution spéculative au sein des processeurs basés sur l’architecture ARM et Intel

Mise à jour : l’Apple Watch n’est pas affectée par les failles Meltdown et Spectre.

Une équipe de chercheurs a récemment découvert deux failles de sécurité connues sous les noms de Meltdown et Spectre. Ces failles s’appliquent à tous les processeurs actuels et affectent quasiment tous les appareils informatiques et systèmes d’exploitation. Tous les systèmes Mac et appareils iOS sont concernés, mais aucune attaque connue n’a été signalée à ce jour. L’exploitation de la plupart des failles de ce type nécessite le chargement d’une application malveillante sur votre Mac ou votre appareil iOS. Nous vous recommandons donc de télécharger les logiciels uniquement à partir de sources de confiance telles que l’App Store. Apple a d’ores et déjà intégré des mesures correctives dans iOS 11.2, macOS 10.13.2 et tvOS 11.2 afin d’améliorer la protection contre Meltdown. L’Apple Watch n’est pas affectée par les failles Meltdown et Spectre. Nous prévoyons de publier des mesures correctives pour Safari dans les prochains jours, visant à améliorer la protection contre Spectre. Nous continuons à développer et à tester d’autres correctifs pour ces failles et les publierons dans les prochaines mises à jour d’iOS, macOS et tvOS.

Informations générales

Les failles Meltdown et Spectre exploitent une fonctionnalité de performance des processeurs actuels, appelée « exécution spéculative ». L’exécution spéculative accélère les performances en traitant plusieurs instructions simultanément, éventuellement dans un ordre différent de celui dans lequel elles ont été transmises au processeur. Afin d’améliorer les performances, le processeur prédit la destination d’un branchement susceptible d’être suivi, puis poursuit l’exécution des instructions de manière spéculative vers cette destination, avant même que le branchement ne soit totalement traité. Si la prédiction s’avère incorrecte, l’exécution spéculative est annulée de manière invisible pour le logiciel.

Meltdown et Spectre exploitent l’exécution spéculative pour accéder à la mémoire protégée, dont celle du noyau, à partir d’un processus de niveau de privilège inférieur, comme une application malveillante s’exécutant sur un appareil.

Meltdown

Meltdown est le nom donné à une faille d’exploitation appelée CVE-2017-5754 ou « rogue data cache load ». La faille Meltdown peut permettre à un processus utilisateur de lire la mémoire du noyau. Selon notre analyse, cette faille présente les probabilités d’exploitation les plus importantes. Apple a publié des mesures correctives pour Meltdown dans iOS 11.2, macOS 10.13.2 et tvOS 11.2. watchOS ne nécessite aucun correctif. Des tests réalisés à l’aide de benchmarks publics ont montré que les modifications apportées par les mises à jour de décembre 2017 n’entraînent aucune réduction mesurable des performances de macOS et d’iOS sous GeekBench 4, ou sous les principaux benchmarks de navigateur Web comme Speedometer, JetStream et ARES-6.

Spectre

Spectre est le nom donné à deux failles d’exploitation appelées CVE-2017-5753, ou « bounds check bypass », et CVE-2017-5715, ou « branch target injection ». Ces failles permettent potentiellement aux processus utilisateur d’accéder aux éléments de la mémoire du noyau en profitant du délai requis par le processeur pour vérifier la validité d’un appel d’accès à la mémoire.

L’analyse de ces failles a révélé que, bien qu’extrêmement difficiles à exploiter, y compris par une application s’exécutant localement sur un Mac ou un appareil iOS, elles peuvent l’être par l’intermédiaire d’un code JavaScript exécuté dans un navigateur Web. Apple publiera une mise à jour de Safari pour macOS et iOS dans les prochains jours afin de réduire les risques d’exploitation de ces failles. Nos tests actuels indiquent que les prochains correctifs de Safari n’auront aucun impact mesurable sous les benchmarks Speedometer et ARES-6, et un impact inférieur à 2,5 % sous le benchmark JetStream. Nous continuons à développer et à tester d’autres mesures correctives au sein du système d’exploitation pour les failles Spectre et les publierons dans les prochaines mises à jour d’iOS, macOS et tvOS. watchOS n’est pas affecté par Spectre.

 

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu pour responsable de tout problème lié à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web, ou l’exactitude des informations que ce dernier propose. L’utilisation d’Internet induit en effet des risques. Contactez le fournisseur pour obtenir des informations supplémentaires. Les autres noms de société et de produit peuvent constituer des marques déposées de leurs détenteurs respectifs.

Date de publication :