Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Meltdown & Spectre : l’Armageddon numérique ?

05 jan. 2018 - 10:39,
Tribune - Charles Blanc-Rolin
Paco Rabanne et Nostradamus ne l’avaient pas vu arriver celle là !  

meltdown_spectre

Tous les CERT de la planète sont en ébullition, le CERT-FR de l’ANSSI a notamment publié une alerte hier soir relative aux récentes révélations des attaques Meltdown et Spectre, que certains comparent déjà à la vulnérabilité Heartbleed (OpenSSL) qui avait fait tant de bruit en 2014, ont bien de quoi nous faire tous trembler à nouveau !

Pourquoi l’Armageddon numérique ? Tout simplement parce que la quasi totalité des terminaux numériques en fonctionnement à ce jour sont concernés. Ces vulnérabilités sont basées sur le matériel (celles qui piquent le plus), plus précisément sur les processeurs et permettent d’en extraire toutes les informations confidentielles qu’ils peuvent traiter, comme nos mots de passe et clés de chiffrement par exemple. Sont donc concernés, une grande partie des processeurs Intel construits depuis 1995, mais aussi de nombreux processeurs AMD, ainsi que des processeurs « mobiles » ARM embarqués dans nos tablettes et smartphones et probablement bien d’autres encore… Tous les systèmes d’exploitations sont concernés, Windows, Linux, macOS, Android, iOS…
Ça commence à faire peur !

Ces attaques se basent sur trois vulnérabilités déjà référencées :

CVE-2017-5753 (Spectre) : dépassement de la mémoire tampon

CVE-2017-5715 (Spectre) : injection de valeurs erronées

CVE-2017-5754 (Meltdown) : lecture des données en cache du processeur

Pour essayer de vulgariser une attaque Spectre + Meltdown : en s’appuyant sur la fonctionnalité d’exécution spéculative des processeurs « modernes », un attaquant pourrait envoyer des demandes d’accès légitimes au processeur, jusqu’au moment où il va injecter des données erronées lui permettant de réaliser un débordement de la mémoire tampon, qui aura pour effet de passer les informations en cache, cache dont il extraira ensuite les information.

Puisque les images sont plus parlantes qu’un long discours, voici deux démonstrations de ce que ça peut donner :

https://youtu.be/bReA1dvGJ6Y

https://twitter.com/misc0110/status/948706387491786752

Vous allez me dire, et maintenant que fait-on ?

Les éditeurs de nos systèmes d’exploitation sont en train de réaliser des patchs, alors on prépare la colle à vulcanisation et on se tient prêt pour coller les rustines qui vont arriver.
Un patch pour le noyau Linux est déjà disponible et intégré dans plusieurs distributions, on peut donc déjà commencer, idem pour Microsoft, un patch pour Windows a déjà été publié. Mozilla vient également de publier un patch pour Firefox (la version ESR n’est pas affectée).
Intel prévoit pour fin de semaine prochaine, la publication de nouveaux firmwares pour 90 % de ces processeurs produits ces cinq dernières années, de ce côté là, il nous faudra donc encore patienter un peu. En attendant, gardons un œil sur les futurs évolutions du bulletin d’alerte de l’ANSSI et Happy Patching 2018 à tous !

Avez-vous apprécié ce contenu ?

A lire également.

Illustration « Restons maîtres de notre destin » - La souveraineté, l’innovation et la résilience du système de santé comme thématiques clés de la matinée Horizon Santé 360

« Restons maîtres de notre destin » - La souveraineté, l’innovation et la résilience du système de santé comme thématiques clés de la matinée Horizon Santé 360

20 oct. 2025 - 15:51,

Actualité

- Par Pauline Nicolas, DSIH

La 3ème édition d’Horizon Santé 360 s’est ouverte le jeudi 9 octobre 2025 et a réuni plus de 550 acteurs du secteur de la santé (établissements de santé, industrie pharmaceutique, institutionnels, consultants, industriels, start-up). Cette journée a débuté par une conférence introductive de Dominiqu...

Illustration FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

06 oct. 2025 - 21:41,

Actualité

- DSIH

Pour fluidifier les parcours, offrir une vision exhaustive des données patients, connecter la ville et l’hôpital, et permettre aux nouvelles générations d’algorithmes de révéler tout leur potentiel, l’interopérabilité devient essentielle. Autour d’un dîner-conférence organisé par Infor, experts amér...

Illustration L'École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite

L'École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite

06 oct. 2025 - 10:50,

Communiqué

- EHESP

Dans un contexte d’accélération de la transformation numérique du système de santé, l’École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite à destination des équipes dirigeantes d’établissements sanitaires, sociaux et médico-sociaux.

Illustration Le Data Act : une nouvelle ère pour la gouvernance des données de santé

Le Data Act : une nouvelle ère pour la gouvernance des données de santé

30 sept. 2025 - 07:15,

Tribune

-
Marguerite Brac de La Perrière

Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.