La traînée de poudre

Deux nouvelles séries de bugs de sécurité très important liés aux processeurs ont été publiés en ce début d’année, “Meltdown” et “Spectre”.

Ces bugs sont matériels, impactent plus ou moins les processeurs Intel, AMD et ARM. Tous les systèmes d’exploitation (Linux, Windows, BSD, MacOS, Android, iOS…), tous les types de matériels (PC, Mac, serveurs, téléphones, tablettes…) sont impactés

Le laboratoire de sécurité de Google a démontré une preuve de concept d’attaque utilisant un code Javascript chargé depuis une page Web ordinaire. Depuis, Mozilla Firefox et Google Chrome ont été mis à jour afin de mitiger ces attaques, assurez-vous d’utiliser un navigateur à jour.

Le site linuxfr.org offre une présentation détaillé et des liens vers de nombreux articles ici.

Systèmes Intellique

La grande majorité des systèmes Intellique actuellement en production sont basés sur des processeurs AMD Opteron. Ils sont donc immunisés contre Meltdown, mais vulnérable à Spectre. Des noyaux corrigés en version 4.4.110 et 4.9.75 sont d’ores et déjà disponibles dans les dépôts intellique, branche unstable.

Dans la mesure où un système n’est pas accessible depuis Internet, le risque d’une attaque est pour l’instant infime. Il n’est donc pas forcément nécessaire de se précipiter pour mettre à jour.

Impact sur les performances

Meltdown semble avoir un impact très important sur les performances des processeurs Intel dans certaines conditions. Les correctifs ralentissent fortement les appels systèmes, ce qui impactera plus fortement les systèmes serveurs que les postes utilisateurs. Chez Epic Games, une augmentation considérable de la charge processeur a été constatée après application des correctifs sur les serveurs applicatifs.

source

Spectre pourrait impacter significativement les performances en entrées-sorties, disques et réseau en particulier, sur les serveurs de fichiers. Nous sommes en train de mener des évaluation sur Opteron et Xeon. Les tests préliminaires indiquent que les performances sont peu impactées.