Google découvre une faille zero day exploitable à partir des mémoires DRAM
Google découvre une faille zero day exploitable à partir des mémoires DRAM
Aucune solution fiable n’est encore disponible
Google vient de publier une faille zero day. Cette vulnérabilité est le fruit non pas d’erreur logicielle mais plutôt de fabrication matérielle. Elle se nomme « Rowhammer bit flip » et permet d’exploiter une faille dans les mémoires DRAM afin d’accéder au système ou à la mémoire physique d’un terminal.
Pour mieux comprendre comment cette vulnérabilité fut détectée, il est nécessaire de s’attarder sur le mode de fonctionnement des mémoires DRAM (Dynamic Random Access Memory). Par définition, les mémoires RAM sont des emplacements où le système stocke les informations pendant leur traitement. Pour que cela soit possible, les condensateurs présents sur la barrette doivent être chargés en électricité. A chaque charge, les condensateurs passent à 1 et à chaque décharge les condensateurs passent à 0. C’est ce processus de charge et de décharge qui a suscité l’appellation « dynamique » de ce type de mémoire. Pour modifier l’état de chaque condensateur (0 ou 1) présent sur la mémoire, un transistor lui est associé. Leur répartition sur la barrette permet d’avoir une cellule (ligne et colonne) également appelée case mémoire et est accessible par une adresse.
Un collège de scientifiques de la firme Intel et de l’université de Carnegie Mellon a travaillé sur ces cellules en accédant à ces emplacements de manière répétée. Cette expérience a permis de mettre en évidence un comportement anormal des cellules voisines. Ainsi, lorsqu’on accède à deux adresses mémoire dans certaines conditions, cela fait varier une troisième adresse mémoire. Cette interférence est possible à cause de la proximité des puces sur la mémoire. En effet, en voulant gagner davantage d’espace de stockage sur une barrette mémoire, les fabricants réduisent l’espace entre chaque puce qui compose la mémoire DRAM. Et donc en effectuant de manière persistante une activation d’une rangée de cellules (chargement et déchargement de la cellule) pendant que le rafraichissement de la même rangée a cours, cela crée des perturbations au niveau des cellules adjacentes. Ce phénomène est appelé « Rowhammer bit flip » ou plus simplement technique d’inversion de bit par l’agression répétée d’une rangée de cellule.
La firme de Mountain View a poussé cette technique encore plus loin. Pour ce faire, elle a réuni 29 ordinateurs portables basés sur une architecture x86 avec des mémoires DRAM DDR3. Sur ces 29 machines, 15 ont présenté des inversions de bit tandis que 14 n’en avaient pas. Concrètement, ces inversions de bits ont permis de détecter deux failles.
La première fonctionne comme un client natif (NaCl) et élève les privilèges de ce dernier afin de contourner la protection Sandbox des architectures 32 ou 64 bits. Dans pareil cas le code malicieux pourrait infecter le système sans pour autant être freiné par le mécanisme de contrôle de la Sandbox.
La seconde faille découverte sur ces 15 ordinateurs est une élévation de privilèges pour l’accès au noyau du système d’exploitation. En l’exploitant, on pourrait lire et écrire dans la mémoire virtuelle et par-delà agir sur la mémoire physique du terminal.
Bien qu’aucune solution normée n’ait été produite, Google suggère déjà de mettre en place un mécanisme de contrôle des performances du CPU. En employant cette technique, nous constatons une surcharge du processeur couplée à une utilisation élevée de la mémoire cache dans un lapse de temps très réduit. La présence de tels signes pourrait permettre de déceler une éventuelle attaque.
Il faut préciser toutefois, que ce type d’attaque n’est pas donné à tout le monde, de même que les succès ne sont pas garantis à 100%. En outre, les chercheurs de Google ont également testé des ordinateurs de bureau dotés de mémoires ECC (Error Correcting Coding) qui utilisent plusieurs bits pour la correction d’erreurs, mais aucun bit flip n’a été détecté. Certains fabricants de mémoire RAM ont pris le problème à bras le corps en implémentant des mesures de contrôle ou d’atténuation sur leurs mémoires DRAM. D’autres fabricants de cartes mères ont sorti des mises à jour de BIOS qui permettent non pas d’éliminer, mais plutôt d’atténuer les interférences à l’origine de cette faille.
Source : Blog Google
Et vous ?
:fleche: Que pensez-vous de cette nouvelle faille découverte ?
