1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Administrateur systèmes et réseaux
    Inscrit en
    juin 2016
    Messages
    142
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Bénin

    Informations professionnelles :
    Activité : Administrateur systèmes et réseaux
    Secteur : Aéronautique - Marine - Espace - Armement

    Informations forums :
    Inscription : juin 2016
    Messages : 142
    Points : 4 736
    Points
    4 736

    Par défaut Encore deux nouvelles vulnérabilités de classe Spectre découvertes

    Encore deux nouvelles vulnérabilités de classe Spectre découvertes
    elles affectent des processeurs Intel, ARM et probablement AMD

    Depuis le début de l'année 2018, les failles Spectre et Meltdown font beaucoup parler d’elles. Meltdown touche tous les processeurs Intel équipant les ordinateurs et les serveurs depuis 1995. Spectre, quant à lui, touche tous les ordinateurs, serveurs et smartphones équipés de processeurs ARM. Alors que la vague de ces deux failles commençait à se calmer, le chercheur du Massachussetts Institute of Technology (MIT) Vladimir Kiriansky et le chercheur indépendant Carl Waldspurger viennent de découvrir et de mettre en évidence deux nouvelles vulnérabilités qu’ils ont appelées Spectre 1.1 et Spectre 1.2.

    Comme leurs illustres prédécesseurs, ces deux failles exploitent le processus d’exécution spéculative. Rappelons, à toutes fins utiles, que le processus d’exécution spéculative est une fonctionnalité courante sur tous les processeurs modernes et ayant pour rôle d’accroître la performance en anticipant sur les opérations et en se débarrassant plus tard des données non nécessaires. Selon les chercheurs, Spectre 1.1 utilise une exécution spéculative pour fournir du code qui submerge les tampons de mémoire cache des processeurs afin d'écrire et d'exécuter du code malveillant qui récupère des données de sections de mémoire du processeur préalablement sécurisées. Specter 1.2, quant à lui, peut être exploité pour écrire dans des secteurs de mémoire de processeurs qui sont normalement protégés en lecture seule.

    Nom : shutterstock_chip_person.jpg
Affichages : 2217
Taille : 40,2 Ko

    Les chercheurs précisent cependant que, de la même manière que la plupart des variantes précédentes de Meltdown et Spectre, les deux vulnérabilités ne peuvent être utilisées à des fins criminelles que si un code malveillant se trouve déjà sur le PC de l’utilisateur. Intel et ARM ont reconnu publiquement que certains de leurs processeurs sont vulnérables à Spectre 1.1. AMD quant à lui ne s'est pas encore prononcé à propos de ces nouvelles vulnérabilités.

    Aucune information n’a été publiée quant aux processeurs affectés par Spectre 1.2. Intel, à travers un porte-parole, déclare que son guide sur la gestion des failles Spectre et Meltdown indique aux développeurs la marche à suivre pour examiner et modifier leur code source de manière à grandement restreindre la vulnérabilité à l’échelle des logiciels ou des applications.

    Dans leur rapport de recherche, les chercheurs ont suggéré trois atténuations matérielles pour empêcher les attaques Spectre 1.1. Il s’agit des atténuations micro-architecturales de la famille SLoth (le SLoth Bear qui bloque le store-to-load, le SLoth qui ralentit le transfert store-to-load et l'Arctic SLoth qui gèle le transfert store-to-load). Dans le cadre du programme Bug Bounty qu’Intel a lancé depuis la découverte des variantes originelles de Spectre et de Meltdown, les chercheurs ont reçu une prime de 100 000 dollars US de la part d’Intel pour leur découverte.

    Source : MIT

    Et vous ?

    Que pensez-vous de ces nouvelles failles et des vulnérabilités Spectre et Meltdown en général ?

    Voir aussi

    Spectre/Meltdown : de nouvelles failles dans les processeurs, elles permettent de lire les registres internes, la mémoire kernel et celle de l'hôte

    Meltdown et Spectre : Intel abandonne le développement des mises à jour de microcodes pour certains processeurs, une décision qui ne surprend pas

    Meltdown et Spectre : un outil PowerShell est disponible, il permet de faire l'état des lieux des protections sous Windows

    Spectre NG : Intel affirme que cette nouvelle faille est prise en charge par le correctif existant Microsoft anticipe avec une mise à jour cumulative

    Vulnérabilités Meltdown et Spectre : état des lieux des navigateurs Chrome, Mozilla et Edge face au vecteur d'exploitation JavaScript
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Rédacteur
    Avatar de eclesia
    Profil pro
    Inscrit en
    décembre 2006
    Messages
    2 084
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : décembre 2006
    Messages : 2 084
    Points : 3 039
    Points
    3 039

    Par défaut

    https://people.csail.mit.edu/vlk/spectre11.pdf page 3
    Spectre3.0 (Meltdown) affects
    CPUs that do not nullify values on exceptions, e.g., Intel,
    ARM, and IBM, but not AMD.
    Systèmes d'Informations Géographiques
    - Projets : Unlicense.science - Apache.SIS

    Pour un monde sans BigBrother IxQuick ni censure RSF et Les moutons

Discussions similaires

  1. Réponses: 8
    Dernier message: 08/07/2009, 15h15
  2. Réponses: 4
    Dernier message: 21/05/2009, 13h17
  3. Instancier un nouvel Objet de Classe avec un String
    Par Cribest dans le forum Macros et VBA Excel
    Réponses: 4
    Dernier message: 15/07/2008, 15h56
  4. Réponses: 10
    Dernier message: 28/11/2006, 21h53
  5. acepter deux decimal avec la classe BigDecimal
    Par mehdi_swatch dans le forum Langage
    Réponses: 2
    Dernier message: 15/05/2006, 12h40

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo