Une nouvelle faille de sécurité dans les processeurs Intel a été révélée par les chercheurs en vulnérabilité de Bitdefender ainsi que par une équipe d’universitaires du monde entier.
Cette faille a été baptisée Load Value Injection ou LVI (injection de valeur de charge) et représente une toute nouvelle classe d’attaques théoriques qui peuvent être lancées contre les processeurs d’Intel. Bien que l’attaque ne soit qu’une menace théorique pour le moment, Intel a déjà publié des correctifs de micrologiciels pour atténuer les attaques contre ses processeurs actuels et le fabricant de puces prévoit de déployer des correctifs au niveau du matériel dans les générations futures.
Alors que le bogue Meltdown, découvert pour la première fois en 2018, permettait aux attaquants de lire les données d’une application à partir de la mémoire d’un CPU alors qu’elle était dans un état transitoire, les attaques LVI pourraient permettre à un attaquant d’injecter du code à l’intérieur du CPU et de le faire exécuter comme une opération transitoire, ce qui donnerait aux attaquants plus de contrôle sur ce qui se passe.
- Les derniers processeurs Intel présentent une faille de sécurité « impossible à corriger
- Voici le CPU 64 cœurs le moins cher actuellement sur le marché
- Ce sont les meilleurs processeurs disponibles à l’heure actuelle
Les deux équipes de recherche ont découvert la nouvelle attaque LVI par elles-mêmes, mais les deux équipes ont réussi à prouver le large impact que les attaques LVI pourraient avoir. L’équipe de recherche universitaire s’est concentrée sur la fuite de données d’une zone sécurisée des processeurs Intel appelée enclave Intel SGX et Bitdefender s’est attaché à prouver l’impact que l’attaque pourrait avoir sur les environnements en nuage.
Faille de sécurité du LVI
À l’heure actuelle, seuls les processeurs Intel ont été confirmés comme étant affectés par les attaques LVI lors de tests en situation réelle, bien que les chercheurs n’aient pas exclu que les processeurs d’AMD et d’ARM puissent également être affectés.
Le code de démonstration de preuve de concept pour les attaques LVI repose actuellement sur l’exécution d’un code malveillant sur un ordinateur, ce qui signifie qu’un accès local est nécessaire. Cependant, une attaque à distance pourrait également être possible via JavaScript en incitant les utilisateurs à visiter un site malveillant.
L’utilisation de JavaScript pour lancer une attaque LVI n’a pas encore été prouvée, mais les chercheurs universitaires et Bitdefender pensent tous deux que cette méthode de diffusion pourrait théoriquement fonctionner.
Heureusement, les deux équipes sont également arrivées à la conclusion qu’une attaque LVI serait difficile à réaliser pour un attaquant. Bien que ce nouveau type d’attaque ne présente pas de danger pour les utilisateurs à l’heure actuelle, une fois que l’on aura appris comment fonctionnent les processeurs, la conception actuelle des processeurs se révélera probablement peu sûre.