Une énorme faille de sécurité dans les puces Intel 64-bit oblige les éditeurs de Windows, Linux et macOS de diffuser un patch qui, malheureusement, s’accompagne d’une baisse sensible des performances.

Mauvaise nouvelle pour les utilisateurs de puces Intel. Une faille de sécurité dans les puces 64-bit oblige les fournisseurs de systèmes d’exploitation à diffuser un patch qui risque d’impacter de manière sensible les performances du processeur. Selon The Register, cette baisse de performance pourrait se situer quelque part entre 5 et 30 %, en fonction des applications.

Le patch est d’ores et déjà disponible pour le noyau de Linux et devrait rapidement être intégré dans les différentes distributions. Sur Windows, le correctif devrait être diffusé à l’occasion du prochain Patch Tuesday, le 9 janvier. Aucune date n’est annoncée pour macOS.

Les détails techniques relatives à cette faille ne sont pas connus. Apparemment, celle-ci concernerait les puces 64-bit des dix dernières années, ce qui représentent donc des millions d’appareils. L’origine de la faille serait un mauvais design dans la gestion de la mémoire virtuelle que les processus de l’utilisateur partagent avec le noyau du système d’exploitation pendant leur exécution.

Séparation totale du noyau et du processus utilisateur

Ce partage permet de rendre plus fluide les interactions entre le processus et le noyau. Malheureusement, il semblerait qu’il permette également à des attaquants d’accéder à des zones mémoires privilégiées du noyau. Ce qui ouvrirait la porte au vol de données confidentielles (mots de passe, clé secrètes) et à l’exécution de code arbitraire.

Pour résoudre ce problème, les développeurs du patch ont décidé de séparer totalement les espaces d’exécution entre les processus utilisateur et le noyau. Avec la conséquence inévitable d’une baisse de performance. Personne, évidemment, n’est heureux de cette situation, à commencer par les développeurs du patch eux-mêmes. En cherchant un acronyme pour désigner cette faille de sécurité, ils avaient d’abord pensé à « User Address Space Separation » (UASS) ou « Forcefully Unmap Complete Kernel With Interrupt Trampolines » (FUCKWIT). Ils ont finalement opté pour « Kernel Page Table Isolation » (KPTI), qui est plus politiquement correct.

A noter que chez AMD, on reste zen. « Les processeurs AMD ne sont pas concernés par ces attaques », souligne un ingénieur AMD dans un message posté dans une liste de discussion.

source officiel : https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00086&languageid=en-fr