
Au centre de la note d’information, l’utilisation des instructions MOV SS et POP SS en tandem avec des interruptions ou des appels système. Dans leur papier, les chercheurs expliquent qu’Intel a prévu que l’usage de MOV SS ou POP SS dans un programme inhibe les interruptions (même non masquables) et les exceptions. Les éditeurs de systèmes d’exploitation et d’outils de virtualisation ont basé l’implémentation des gestionnaires d’interruptions (et d’exceptions) uniquement sur ce fait en omettant la partie de la documentation Intel qui précise que les exceptions de débogage ne sont pas inhibées par le drapeau système EFLAGS.IF positionné en conséquence.
Résultat des courses, un processeur x86 (x86_64) peut générer une exception lorsqu’il voit une instruction MOV SS (ou POP SS) suivie d’une interruption ou d’un appel système. Un attaquant peut s’appuyer sur cet état de choses pour avoir accès à des processus du noyau, ce, en s’appuyant sur le gestionnaire d’exceptions. D’ailleurs, sur la ressource en ligne spécialisée seclists.org, le chercheur en sécurité Andy Lutomirski précise que l’exception est générée après un passage en mode noyau.
« L’exploitation de la faille peut permettre à un attaquant non authentifié d’accéder à des zones mémoire sensibles ou contrôler des fonctionnalités de bas niveau du système d’exploitation », précise le CERT (centre de veille, d'alerte et de réponse aux attaques informatiques).
Les éditeurs de système d’exploitation ont, pour la plupart, été notifiés le 30 avril 2018 à propos de cette vulnérabilité. Des correctifs pour la faille référencée CVE-2018-8897 sont disponibles pour Windows, Linux, macOS et les systèmes de virtualisation mentionnés depuis le début de ce mois. Le code permettant de tester si un système est vulnérable est disponible sur GitHub.
Sources : everdox, seclists.org, cert, GitHub
Et vous ?



Voir aussi :




Vous avez lu gratuitement 410 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.