Les chercheurs en sécurité Enrique Nissim et Krzysztof Okupski ont dévoilé lors de la conférence DEF CON une vulnérabilité majeure baptisée « Sinkclose » qui affecte potentiellement des centaines de millions de processeurs AMD remontant jusqu’à 2006. Cette faille au doux nom de CVE-2023-31315 et d’une gravité de 7,5/10 sur l’échelle CVSS permet à un attaquant d’installer un malware pratiquement indétectable et impossible à supprimer. Oups.
Une faille dans le mécanisme de compatibilité
La vulnérabilité réside dans une fonctionnalité obscure des processeurs AMD appelée TClose. Cette fonction, destinée à assurer la compatibilité avec d’anciens systèmes, permet de rediriger des données vers une zone mémoire normalement protégée appelée SMRAM (System Management Random Access Memory).
Les chercheurs ont découvert qu’il était possible de détourner ce mécanisme pour injecter du code malveillant directement dans le SMM (System Management Mode), une partie critique du processeur qui s’exécute avec les privilèges les plus élevés. Une fois en place, ce code malveillant devient quasiment indétectable et survit même à un formatage complet du disque dur.
« Imaginez que des pirates d’un État-nation ou quiconque veuille persister sur votre système. Même si vous effacez votre disque dur, il sera toujours là. Il sera presque indétectable et presque impossible à réparer« , explique Krzysztof Okupski.
Une exploitation complexe mais pas impossible
Comme souvent avec ce type de failles la bonne nouvelle est que l’exploitation nécessite déjà un accès privilégié au noyau du système d’exploitation. Cependant, comme le souligne Enrique Nissim, « des vulnérabilités de ce type sont découvertes presque tous les mois dans Windows et Linux ». De plus, des acteurs étatiques disposent probablement déjà d’exploits pour obtenir ces privilèges.
Une fois l’accès obtenu, un attaquant pourrait installer un malware persistant capable de survivre aux redémarrages et même aux réinstallations complètes du système. La seule solution pour s’en débarrasser serait de reprogrammer physiquement certaines puces mémoire de l’ordinateur, une opération complexe et coûteuse.
Des correctifs en cours de déploiement
AMD a reconnu le problème et a commencé à déployer des correctifs pour certains modèles de processeurs. Cependant tous ne seront pas corrigés. Notamment les populaires Ryzen 3000 de bureau ne recevront pas de mise à jour.
Pour les modèles concernés les mises à jour sont distribuées via les constructeurs et devraient être disponibles dans Windows Update. Sur Linux et pour les serveurs, la situation est plus complexe et dépend des configurations.
Cette découverte soulève des questions fondamentales concernant la sécurité à long terme des processeurs compte tenu de leur durée de vie souvent plus étendue que celle du support logiciel. Elle met particulièrement en évidence les risques liés aux fonctionnalités héritées du passé, susceptibles de créer des failles de sécurité… inattendues.
