Vulnérabilités du canal latéral du microprocesseur (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754) : Impact sur les produits Dell

ID DE LA CVE : CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

La société Dell est consciente des vulnérabilités par analyse, connues sous les noms Meltdown et Spectre, affectant de nombreux microprocesseurs modernes. Ces failles de sécurité ont été publiquement décrites par une équipe de chercheurs sur la sécurité le 3 janvier 2018. Aucune exploitation de ces failles de sécurité n’a été rapportée à ce jour, mais les chercheurs ont démontré que le risque était réel.

Directives relatives au correctif

Mise à jour le 11 octobre 2019 :

Vous devez appliquer trois composants essentiels pour atténuer les vulnérabilités mentionnées ci-dessus :

1. Appliquez la mise à jour du microcode de processeur via la mise à jour du BIOS répertoriée dans la section Produits Dell concernés ci-dessous.
2. Appliquez le correctif du système d’exploitation applicable. Consultez la section Directives relatives au correctif du système d’exploitation ci-dessous.
3. Pour les systèmes concernés, appliquez le package de pilotes NVIDIA figurant dans la section ci-dessous, Produits clients Dell avec processeur graphique NVIDIA. Pour les plates-formes incluant le logiciel GeForce Experience (GFE), le package de pilotes inclut également la version de protection de GFE.

Les correctifs du système d’exploitation ont un rôle de prévention contre Spectre (variante 1) et Meltdown (variante 3). La mise à jour du pilote NVIDIA a un rôle de prévention contre Spectre (variante 1) La mise à jour du microcode est uniquement requise pour Spectre (variante 2), CVE-2017-5715.

Dell mettra cet article à jour dès que de nouvelles informations seront disponibles, y compris les produits concernés et les étapes de résolution du problème.

En règle générale, Dell recommande à ses clients de suivre les bonnes pratiques en matière de sécurité pour la protection contre les logiciels malveillants afin de se protéger contre d’éventuelles failles de sécurité. Dell recommande notamment d’adopter rapidement les mises à jour logicielles, d’éviter les liens hypertextes et les sites Web non reconnus, de ne pas télécharger de fichiers ou d’applications provenant de sources inconnues et de suivre les protocoles liés aux mots de passe sécurisés. Les clients doivent également se protéger des programmes malveillants à l’aide d’un logiciel de sécurité (solution avancée de protection contre les menaces ou antivirus).

Remarques :

• La liste des plateformes concernées pour les produits client Dell sera mise à jour dès obtention des informations.
• Pour plus d’informations sur les produits Dell EMC (Dell PowerEdge les serveurs, le stockage et la mise en réseau), reportez-vous à la rubrique Dell des Articles de la base de connaissances sur les attaques de canal latéral (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754) : Impact sur les produits Dell EMC (Dell Enterprise serveurs, stockage et mise en réseau).

Produits clients grand public et commerciaux Dell affectés

Les systèmes ci-dessous sont concernés et reçoivent le micrologiciel corrigé via une version du BIOS Dell (mise à jour du BIOS). Les dates figurant dans cette liste sont des estimations fournies à des fins de planification pour le client. Elles seront mises à jour avec les liens vers les packages à télécharger dès que possible.

Remarques :

• Avant d’installer les versions du BIOS, assurez-vous que les mises à jour Windows sont effectuées.
• Les dates indiquées représentent une estimation des dates de disponibilité et peuvent être modifiées sans préavis.
• Les dates ci-dessous sont au format des États-Unis, à savoir MM/JJ/AA
• Ces correctifs peuvent également inclure les composants de micrologiciel du bulletin d’informations ME/TXE Intel (INTEL-SA-00086). Consultez la base de connaissances Dell sur le bulletin d’informations ME/TXE Intel pour plus en savoir plus.
• Le tableau ci-dessous présente un lien vers la page produit de votre ordinateur Dell contenant la dernière version du BIOS disponible. Suivez les instructions de la procédure.

Vous devrez effectuer les étapes suivantes :

1. Accédez au site Web du support Dell.
2. Vous disposez de trois options pour identifier votre ordinateur.

   Vous devez soit :

   • Touchez ou cliquez sur la liste correspondant à votre ordinateur sous CE PC.
     Remarque : Remarque : s’il n’y a aucune liste pour votre ordinateur sous CE PC, vous pouvez toucher ou cliquer sur Télécharger & installer SupportAssist, ce qui vous permettra d’identifier automatiquement votre ordinateur. Suivez les invites à l’écran pour télécharger et installer SupportAssist.
   • Saisissez le numéro de série, l’ID de produit Dell EMC ou le modèle, puis touchez ou cliquez sur le bouton Rechercher et sélectionnez votre ordinateur dans la liste.
   • Touchez ou cliquez sur Parcourir tous les produits : Vous devez sélectionner le type de périphérique dont vous disposez, le nom de marque et le modèle de produit.
     Remarque : Remarque : pour plus d’informations, reportez-vous à l’article suivant de la base de connaissances Dell : Identifier le numéro de modèle de votre ordinateur Dell ou visionnez la vidéo ci-dessous.
3. Appuyez ou cliquez sur l’onglet Pilotes et téléchargements.
4. À l’aide des listes déroulantes sous Catégorie, sélectionnez BIOS.
5. Appuyez ou cliquez sur Télécharger, à droite de la dernière version du BIOS répertoriée pour votre ordinateur, puis suivez les invites.

Remarque :

• Les versions 8.4 et ultérieures de ThinOS ne sont pas affectées.
  De par sa conception, ThinOS est un système d’exploitation « fermé », c’est-à-dire que seuls les logiciels fournis par Dell peuvent être exécutés sur ce système. Il n’existe aucun navigateur Web ni aucune autre interface permettant de naviguer, de télécharger ou d’installer un logiciel sur ThinOS. Dans la version 8.4, ThinOS a introduit la vérification de la signature numérique des mises à jour ou des packages logiciels. Elle empêche les utilisateurs (y compris les administrateurs) de télécharger ou d’installer d’autres logiciels sur ThinOS, y compris les logiciels malveillants qui pourraient exploiter les failles du processeur sous-jacent. Les clients doivent mettre à jour leurs appareils avec la dernière version de ThinOS. Dell continuera à surveiller la situation.

Vous devrez effectuer les étapes suivantes :

1. Accédez au site Web du support Dell.
2. Vous disposez de trois options pour identifier votre ordinateur.

   Vous devez soit :

   • Touchez ou cliquez sur la liste correspondant à votre ordinateur sous CE PC.
     Remarque : Remarque : s’il n’y a aucune liste pour votre ordinateur sous CE PC, vous pouvez toucher ou cliquer sur Télécharger & installer SupportAssist, ce qui vous permettra d’identifier automatiquement votre ordinateur. Suivez les invites à l’écran pour télécharger et installer SupportAssist.
   • Saisissez le numéro de série, l’ID de produit Dell EMC ou le modèle, puis touchez ou cliquez sur le bouton Rechercher et sélectionnez votre ordinateur dans la liste.
   • Touchez ou cliquez sur Parcourir tous les produits : Vous devez sélectionner le type de périphérique dont vous disposez, le nom de marque et le modèle de produit.
     Remarque : Remarque : pour plus d’informations, reportez-vous à l’article suivant de la base de connaissances Dell : Identifier le numéro de modèle de votre ordinateur Dell ou visionnez la vidéo ci-dessous.
3. Dans le menu déroulant Système d’exploitation, sélectionnez le système d’exploitation installé sur votre ordinateur.
4. Dans le menu déroulant Catégorie, sélectionnez Vidéo.
5. Appuyez ou cliquez sur Télécharger, à droite de la dernière version du pilote graphique ou vidéo répertorié pour votre ordinateur, puis suivez les invites.

Directives relatives au correctif du système d’exploitation

Les systèmes d’exploitation répertoriés ci-dessous sont concernés et doivent être mis à jour en suivant les instructions du bulletin d’informations sur la sécurité Intel applicables à leur système d’exploitation.

Bulletin d’informations Microsoft : https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat : https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe : https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu : https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

Chrome OS : https://support.google.com/faqs/answer/7622138#chromeos

Références

Bulletin d’informations sur la sécurité Intel : https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Bulletins de sécurité NVIDIA :

• Bulletin de sécurité : Security Bulletin: NVIDIA Driver Security Updates for CPU Speculative Side Channel Vulnerabilities (en anglais)
• Bulletin de sécurité : Security Bulletin: NVIDIA GeForce Experience (GFE) Security Updates for CPU Speculative Side Channel Vulnerabilities (en anglais)

Mise à jour AMD : http://www.amd.com/en/corporate/speculative-execution

Billet de blog Google Project Zero : https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Documents de recherche : https://meltdownattack.com