Les extensions Software Guard (SGX) d’Intel sont à nouveau sous le feu des projecteurs après que le fabricant de puces a révélé plusieurs vulnérabilités récemment découvertes affectant la technologie et a recommandé aux utilisateurs de mettre à jour leur micrologiciel.
Les failles de sécurité font partie des dernières révélations répertoriées sur Intel Centre de sécurité page. Ceux-ci couvrent une large gamme de produits Intel, y compris les processeurs Xeon, les adaptateurs réseau et également les logiciels.
Au total, 31 avis ont été ajoutés au centre de sécurité Intel au 14 février, comme nous l’avons noté ici. Cinq failles de sécurité liées à SGX répertoriées dans CVE ont été abordées dans ce correctif Patch Tuesday.
Deux des vulnérabilités SGX impliquent une escalade potentielle des privilèges qui pourrait conduire à la divulgation d’informations, ce qui est gênant pour une fonctionnalité censée permettre un traitement sécurisé des données sensibles dans des zones de mémoire cryptées appelées enclaves.
Un, CVE-2022-38090a un indice de gravité moyen et affecte un certain nombre de processeurs Intel, y compris les puces de serveur Xeon Scalable de 3e génération, qui n’ont été remplacées que récemment par les produits « Sapphire Rapids » de 4e génération.
La description d’Intel à ce sujet explique : “Une isolation incorrecte des ressources partagées dans certains processeurs Intel lors de l’utilisation des extensions Intel Software Guard peut permettre à un utilisateur privilégié d’activer potentiellement la divulgation d’informations via un accès local.”
Intel recommande aux utilisateurs des produits concernés de mettre à jour la dernière version du micrologiciel fournie par le fournisseur du système.
Un autre, CVE-2022-33196, a un indice de gravité élevé et affecte également les puces évolutives Xeon de 3e génération, ainsi que les processeurs Xeon D. Intel a déclaré qu’il publierait des mises à jour du BIOS et du microcode pour les puces concernées.
La description de cela révèle que : “Des autorisations par défaut incorrectes dans certaines configurations de contrôleur de mémoire pour certains processeurs Intel Xeon lors de l’utilisation des extensions Intel Software Guard peuvent permettre à un utilisateur privilégié d’activer potentiellement l’escalade des privilèges via un accès local.”
Un autre problème affectant SGX concerne le kit de développement logiciel (SDK) proprement dit. Ceci est considéré comme faible en gravité, mais pourrait toujours permettre la divulgation d’informations via un accès local, selon Intel, via une vérification des conditions incorrectes dans le logiciel. La société a déclaré qu’elle publierait des mises à jour pour atténuer cela.
SGX a été introduit pour la première fois en 2015 avec les processeurs Intel Core de la génération Skylake. Il a été en proie à des vulnérabilités et a été déprécié dans les puces axées sur le client des processeurs Core de 11e et 12e génération.
Échec de l’APIC : puces Intel “Sunny Cove” avec secrets de déversement SGX
EN SAVOIR PLUS
Cependant, il existe d’autres problèmes dans les dernières divulgations qui ne sont pas liés à SGX, y compris l’escalade de bogues de privilèges dans le micrologiciel Intel Server Platform Services (SPS) (CVE-2022-36348), pour lequel Intel a annoncé qu’il publierait des mises à jour du firmware.
Un autre problème hautement coté affecte également les puces de serveur Xeon Scalable de 3e génération et certains processeurs Atom. CVE-2022-21216quant à lui, peut permettre à un utilisateur privilégié d’activer l’escalade des privilèges via l’accès au réseau adjacent en raison d’une granularité insuffisante du contrôle d’accès dans la gestion hors bande, a déclaré Intel.
Encore une fois, le fabricant de puces a promis de publier des mises à jour du micrologiciel pour atténuer cela. ®
