Une nouvelle attaque, baptisée «ZombieLoad», a été découverte et détaillée par des chercheurs en sécurité, a rapporté TechCrunch aujourd'hui, et elle affecte apparemment toutes les puces Intel datant de 2011. La plupart de vos ordinateurs Mac ont été affectés par cette vulnérabilité que l'iPhone maker a déjà corrigé la mise à jour du logiciel macOS Mojave 10.14.5, publiée hier.
Cette attaque relativement compliquée permet à une partie malhonnête de voler vos données sensibles et vos clés de chiffrement pendant que l'ordinateur y accède. Les puces AMD et ARM ne sont pas affectées.
Voici l'explication technique du fonctionnement de l'attaque:
Alors que les programmes ne voient normalement que leurs propres données, un programme malveillant peut exploiter les tampons de remplissage pour obtenir des secrets actuellement traités par d'autres programmes en cours d'exécution. Ces secrets peuvent être des secrets au niveau de l'utilisateur, tels que l'historique du navigateur, le contenu du site Web, les clés d'utilisateur et les mots de passe, ou des secrets au niveau du système, tels que les clés de chiffrement de disque..
Des informations bien plus détaillées sont disponibles dans un livre blanc.
CPU.fail explique que cette attaque ressuscite votre historique de navigation privé et d'autres données sensibles, ce qui permet aux informations privées d'autres applications de fuir, y compris le système d'exploitation lui-même, toutes les machines virtuelles s'exécutant dans le cloud et les environnements d'exécution approuvés.
Pour le voir en action, regardez la vidéo intégrée qui montre comment ZombieLoad permet à un attaquant d'espionner votre activité de navigation Web. L'attaque fonctionne même si vous utilisez un navigateur préservant la confidentialité comme Tor s'exécutant sur une machine virtuelle.
«Apple a publié des mises à jour de sécurité dans macOS Mojave 10.14.5 pour se protéger contre les vulnérabilités d'exécution spéculative des processeurs Intel», a noté la société Cupertino dans un document de support publié sur son site Web aujourd'hui. Le correctif empêche également l'exploitation des vulnérabilités de ZombieLoad via JavaScript dans Safari.
Un autre document de support explique que plusieurs problèmes de divulgation d'informations ont été partiellement résolus en mettant à jour le microcode et en modifiant l'ordonnanceur du système d'exploitation pour isoler le système du contenu Web exécuté dans le navigateur..
Une protection complète nécessite l'utilisation de l'application Terminal pour activer les atténuations basées sur le microcode pour tous les processus par défaut et désactiver la technologie de traitement d'hyper-threading. Une atténuation complète est disponible pour macOS Mojave, High Sierra et Sierra.
Bien qu'il soit recommandé d'activer la protection d'atténuation pour empêcher les applications nuisibles d'exploiter ces vulnérabilités, cela pourrait réduire les performances de votre Mac jusqu'à 40%.
L'application d'un correctif logiciel sans activer toutes les atténuations rendra votre Mac jusqu'à trois pour cent plus lent, au pire, a déclaré Intel. Le correctif fait partie de la mise à jour macOS Mojave 10.14.5 et des mises à jour de sécurité distinctes pour High Sierra et Sierra (Intel a également publié des mises à jour de microcode pour les processeurs vulnérables),
Les anciens modèles d'ordinateurs Mac répertoriés ci-dessous ne peuvent pas prendre en charge ces correctifs et atténuations en raison d'un manque de mises à jour du microcode d'Intel.
- MacBook (13 pouces, fin 2009)
- MacBook (13 pouces, mi-2010)
- MacBook Air (13 pouces, fin 2010)
- MacBook Air (11 pouces, fin 2010)
- MacBook Pro (17 pouces, mi-2010)
- MacBook Pro (15 pouces, mi-2010)
- MacBook Pro (13 pouces, mi-2010)
- iMac (21,5 pouces, fin 2009)
- iMac (27 pouces, fin 2009)
- iMac (21,5 pouces, mi-2010)
- iMac (27 pouces, mi-2010)
- Mac mini (mi-2010)
- Mac Pro (fin 2010)
Apple note qu'il n'y a aucun exploit connu affectant les clients au moment de sa rédaction. Les problèmes résolus par ces mises à jour de sécurité n'affectent pas les appareils iOS ou Apple Watch.
