Une nouvelle faille dénommée Foreshadow, ou encore L1 Terminal Fault ou L1TF, cible les extensions SGX (Security Guard Extensions) des puces Core d'Intel. Mais si votre PC est patché et à jour, vous n'avez probablement rien à craindre. Selon un message posté le 14 août par Intel, les utilisateurs ayant appliqué les correctifs d'atténuation livrés cette année pour protéger les machines contre les failles Spectre et Meltdown ne devraient pas être inquiétés. Nos confrères de Wired fournissent des éléments plus techniques sur le bogue lui-même, et Intel a publié une vidéo expliquant le problème. « Microsoft a également déployé des correctifs », a précisé Intel. Comme le rappelle le fondeur, à l’origine, les extensions Security Guard Extensions, ou SGX, ont été conçues pour protéger le code contre les tentatives de divulgation ou de modification. Cette fonctionnalité est intégrée dans les puces Core de 7e génération et suivantes, ainsi que dans la génération Xeon correspondante.

Pas de cas avérés de PC touchés par le bug

Selon Intel, le code « est toujours protégé, même quand le BIOS, la VMM, le système d'exploitation et les pilotes sont compromis, ce qui signifie qu'un attaquant qui parvient à s’octroyer le contrôle total de l'exécution sur la plate-forme peut être tenu à distance ». Mais nos confrères de Wired émettent une autre hypothèse. Ainsi, ils n’excluent pas que la vulnérabilité Foreshadow puisse faire tomber le mur existant entre les machines virtuelles. Si c’est le cas, ce serait une vraie préoccupation pour les entreprises cloud dont les services partagent l'espace avec d'autres processus en principe isolés les uns des autres. Intel a déclaré que le bug L1TF, déjà bloqué par des mesures d'atténuation logicielles, sera également corrigé au niveau du hardware de la future puce Xeon Cascade Lake et sur les processeurs attendus plus tard dans l'année.

Cependant, comme dans le cas de Spectre et de Meltdown, Intel précise qu'il n'y a pas eu de cas avérés de PC affectés par le bug. Il est intéressant de noter qu'Intel travaille avec les fournisseurs de cloud - pour lesquels disponibilité et performance sont essentielles - afin de « détecter les programmes d'exploitation de L1TF pendant le fonctionnement du système, et de n’appliquer les mesures d'atténuation que lorsque c’est nécessaire », comme l’a écrit Leslie Culbertson, vice-présidente exécutive et directrice générale de la protection et de la sécurité des produits d’Intel. 

AMD dit n'être pas affecté par Foreshadow

Dans un communiqué publié mercredi, AMD a indiqué que ses produits n’étaient pas affectés par la faille Foreshadow. « Nous conseillons aux clients qui utilisent des processeurs AMD Epyc dans leurs datacenters, y compris dans des environnements virtualisés, de ne pas mettre en œuvre de logiciels d'atténuation pour bloquer la faille Foreshadow pour leurs plates-formes AMD », a déclaré l’entreprise dans son communiqué. Comme le fait remarquer Wired, la vulnérabilité « Foreshadow » porte bien son nom, car les puces Core d’Intel et les puces AMD ont été la cible de nombreuses attaques qui tentent d’exploiter l'exécution spéculative. Mais, tant que les machines sont à jour et que les derniers correctifs ont été appliqués, il n’y a pas trop à s’inquiéter.