Meltdown-Spectre Microsoft et Apple réagissent.

Microsoft pousse ses correctifs, pas de ralentissement

Redmond a pris les devants et a déployé mardi les correctifs pour les failles Meltdown et Spectre pour un certain nombre de ses systèmes. Les mises à jour pour les services Azure devraient suivre sans trop tarder. L’occasion peut-être de confirmer, comme le prétend Intel, que patcher ces vulnérabilités n’a aucun impact sur les performances des terminaux.

Microsoft a démarré le 3 janvier le déploiement d’un correctif visant à combler les failles des processeurs Intel mais aussi AMD et ARM. Le package KB4056892 comprend des patches pour Windows 10, Windows Subsystem pour Linux, Windows Kernel, Windows Datacenter Networking, Windows Graphics, Microsoft Edge, Internet Explorer, Microsoft Scripting Engine et Windows SMB Server. Les patches pour Azure devraient suivre.

Attention, Microsoft prévient que ce patch a un « problème » de compatibilité avec un « petit nombre de programmes anti-virus ». Visiblement, les appels système effectués par ces quelques applications ne sont pas pris en charge dans la mémoire du kernel Windows, ce qui entraîne un écran bleu et un échec du démarrage. Microsoft propose en conséquence ses correctifs du 3 janvier uniquement aux terminaux utilisant « un logiciel antivirus de partenaires ayant confirmé que leur logiciel est compatible avec cette mise à jour du système d’exploitation Windows ».

Pas d’impact notable sur les performances

De son côté le principal concerné, Intel, explique que 90% de ses processeurs produits ces cinq dernières touchés par Meltdown et Spectre devraient être patchés d’ici la fin de la semaine prochaine. « En outre, de nombreux éditeurs de systèmes d’exploitation, fournisseurs de services cloud publics, fabricants d’appareils et autres ont indiqué qu’ils avaient déjà mis à jour leurs produits et services » indique le fondeur.

Ces patches risquent-ils de ralentir les performances des machines, comme le supposait The Register ? Que nenni à en croire Intel. L’entreprise s’appuie sur les retours des géants, Microsoft indiquant par exemple que les clients Azure devraient « n’observer aucun impact notable sur leurs performances ». Du côté d’Apple, lui aussi largement affecté par la faille, « les modifications apportées aux mises à jour de décembre 2017 n’ont entraîné aucune réduction mesurable des performances de macOS et iOS ». 

Meltdown et Spectre affectent tous les Mac et mobiles iOS

Mise au point claire de Cupertino : l’alerte est sérieuse, tous les Mac et iPhone sont affectés et les dernières mises à jour d’OS ne protègent que partiellement des vulnérabilités révélées cette semaine.

Apple l’admet officiellement : tous les systèmes Mac et mobiles iOS, donc aussi bien les matériels à base ARM qu’Intel, sont concernés par les vulnérabilités Meltdown et Spectre. A sa connaissance aucune exploitation des failles n’a encore fait de victimes chez ses utilisateurs. Mais Apple met en garde ceux-ci contre les apps vérolées qui seront les éventuels vecteurs d’attaques. Plus que jamais ne rien télécharger de suspect sur l’App Store.

Selon la marque à la pomme il existe d’ores et déjà des dispositifs de protection partielle contre Meltdown dans les versions macOS 10.13.2 et iOS 11.2. Elles seront renforcées à l’occasion des updates à venir. Une mise à jour de Safari pour macOS et iOS promise dans les prochains jours devrait renforcer les défenses du navigateur contre Spectre.

Dans un billet de blog publié jeudi, Apple rassure et inquiète à la fois. « L’analyse de ces techniques [mises en oeuvre par Meltdown et Spectre] a montré que même si elles sont extrêmement difficiles à exploiter, y compris par une app exécutée localement sur un terminal Mac ou iOS, elles peuvent être potentiellement exploitées par du code JavaScript traité par un navigateur web ».

 

Source L’Informaticien.