[MAJ 23 / 8] Foreshadow : Intel essuie à nouveau une attaque par canal auxiliaire via trois vulnérabilités ! (SG-3)

 

>>> Mise à jour du 23 Août 2018 : Le 20 Août dernier, Microsoft à déployé via son Update une mise à jour sécuritaire à l'encontre de Foreshadow. Nommée KB4346084, elle vient patcher les deux variantes de Spectre et Meltdown dévoilées le 23 Mai dernier (variante 4 - CVE-2018-3639 - variante 3a - CVE-2018-3640) en plus des failles "Foreshadow" ("L1TF"), elles aussi des variantes de la faille initiale observée en Janvier 2018 sur les puces Intel (CVE-2018-3615 + CVE-2018-3646). Si ce n'est déjà fait, mettez à jour sans tarder Windows 10... A veiller ! <<<

 


Actualité du 16 Août 2018

 

Alors que Janvier 2018 semblait déjà - presque - à des années lumières pour Intel, depuis l'affaire Spectre et Meltdown, le mois de Mai est venu balayer tout cela via deux autres variantes de cette attaque par canal auxiliaire (side-channel attack) affectant bon nombre de ces puces mais qui ont, entre-temps, soit reçu un correctif soit tout simplement vu leurs supports abandonnés, faute de mieux. Cette mi-Août vient finir le triste travail du genre en faisant s'effondrer les quelques bribes sécuritaires qu'il restait dans les cœurs des puces du fondeur via la découverte de Foreshadow, une vulnérabilité déclinée en trois variantes, qui s'attaque au cache-mémoire de type L1 de certaines puces d'Intel pour mieux en extraire la teneur et ce, en outrepassant le Software Guard eXtensions du fabricant Américain...

 

 

Mises en lumières par des chercheurs Universitaires, le site dédié à "Présage" (de son nom Francisé) décrit une résurgence de l'attaque par canal auxiliaire sous la dénomination, ici pour Intel, "L1TF" (L1 - niveau 1 de la mémoire-cache des puces affectées - Terminal Fault). Derrière ces noms barbares, résident une vulnérabilité potentielle au sein du SGX, du noyau-système et du SMM (System Management Mode) ainsi qu'auprès des machines virtuelles (clouds).

 

SGX est (grosso modo) une sécurité dans la sécurité : conçu par Intel, l'environnement ultra-sécurisé (en théorie et avant cela, donc...) permettait d’exécuter en toute tranquillité un programme ou processus (mémoire) en créant une sorte de zone de confort ("enclave") pour éviter toute fuite sécuritaire de donnée ou tout détournement malveillant (élévation de privilèges, par exemple). Difficilement décelable (éventuellement dans les logs si cela n'a pas été nettoyé par la personne malveillante), l'attaque se fait de manière insidieuse et sans bruit et ce, même depuis le protocole d'authentification distant qui requiert, pourtant, des clés d'authentification pour, donc, authentifier, le(s) enclave(s). Idem pour le scellement des données dont ces dernières peuvent être modifiées puis à nouveau scellées, sans que l'utilisateur ne puisse rien faire ou voir, d'ailleurs ; et, dans le cas d'une extraction de donnée scellées, un attaquant peut utiliser cette donnée protégée (MAC) pour mieux la détourner, là aussi, à l'insu de l'utilisateur... ! Cette vulnérabilité, a été assignée "CVE-2018-3615".

Pour les deux variantes de la souche originelle, ces deux "Foreshadow-NG" (pour "Next Génération"), assignées respectivement "CVE-2018-3620" et "CVE-2018-3646", l'accès à la mémoire peut se faire directement depuis le kernel (noyau) du système via un programme malicieux (sur le cloud, dans le cas d'une machine virtuelle voire directement au sein du système, via un OS corrompu dans le cas du SMM). La finalité étant commune pour les trois failles : la lecture-mémoire quasi-totale, en accès distant (cloud) ou local.

 

"Nous ne sommes pas au courant de rapports indiquant que l'une de ces méthodes a été utilisée dans des cas réels, mais cela souligne la nécessité pour tous de respecter les meilleures pratiques de sécurité [...] Les mises à jour de microcode (MCU) que nous avons publiées plus tôt cette année constituent un élément important de la stratégie d'atténuation pour les trois applications de la L1TF. Associées aux mises à jour correspondantes des systèmes d'exploitation et des logiciels hyperviseurs lancés aujourd'hui par nos partenaires du secteur et par la communauté open source, ces mises à jour permettent aux utilisateurs, professionnels de l'informatique et fournisseurs de services cloud d'accéder aux protections dont ils ont besoin", annonce sans détour Leslie Culbertson, Vice-Présidente et directrice générale de la veille et de la sécurité des produits d'Intel, le 14 Août au sein d'un communiqué officiel.

Dans son bulletin de sécurité émis le 14 Août dernier, Intel recense le listing, assez long, de ces produits concernés par Foreshadow :

 

  • Intel Core (i5 45mm, i5 32 nm, i7 32 nm, i7 45 nm, M Famille 32 nm et M Famille 45 nm),
  • Intel Core (2ième, 3ième, 4ième, 5ième, 6ième, 7ième et 8ième génération),
  • Intel Core série X Famille (X99 et X299),
  • Intel Xeon (3400, 3600, 5500, 5600, 6500, 7500),
  • Intel Xeon Famille (E3, E3 v2, E3 v3, E3 v4, E3 v5, E3 v6, E5, E5 v2, E5 v3, E5 v4, E7, E7 v2, E7 v3, E7 v4),
  • Intel Xeon Scalable et,
  • Intel Xeon D (1500 et 2100).

 

Source : ForeshadowAttack.eu