Le 10 novembre 2020, une équipe de chercheurs universitaires a découvert un bug dans l'architecture du processeur Intel qui leur permettait d'extraire des informations sensibles du processeur, telles que des clés de chiffrement. Les chercheurs ont nommé cette vulnérabilité Power Leakage Attacks: Targeting Your Protected User Secrets(PLATYPUS) pour la capacité de l'ornithorynque à détecter le courant électrique avec son bec. En surveillant la consommation électrique, les chercheurs ont pu déterminer les données traitées via l'interface Running Average Power Limit (RAPL). Aucun cas d'exploitation dans la nature n'a été signalé, mais Intel a publié une mise à jour du microcode qui devrait être appliquée à tous les serveurs et appareils utilisant le processeur. Aucun correctif n'est nécessaire, comme c'était le cas avec Zombieload ou Spectre et Meltdown.

Intel recommande d' installer les mises à jour fournies par le fabricant du système, mais l'installation des mises à jour du microcode nécessite un redémarrage. Nous avons des instructions (ci-dessous) qui vous aident à mettre à jour le microcode sans redémarrage, protégeant ainsi vos puces Intel. Cette atténuation sans redémarrage ne s'applique qu'aux chipsets Intel.

AMD est également potentiellement vulnérable et a publié une mise à jour du microcode. En accord avec les partenaires de l'industrie, AMD a mis à jour l'interface RAPL pour exiger un accès privilégié. Cette modification est en cours d'intégration dans les distributions Linux.

Atténuer le PLATYPUS

Selon les chercheurs, PLATYPUS fonctionne plus efficacement sur les systèmes Linux, ce qui signifie que tout serveur exécutant une distribution Linux sur Intel peut être vulnérable et que le microcode doit être mis à jour dès que possible. Comme PLATYPUS peut être exécuté à distance, il est essentiel que cette vulnérabilité soit rapidement atténuée, mais les temps d'arrêt sont également un problème pour les serveurs de production qui gèrent des services.

Vous pouvez atténuer PLATYPUS sur Intel sans redémarrage en suivant ces deux étapes :

1. Mise à jour du microcode sans redémarrage. Le microcode du CPU est l'interface entre le logiciel et l'électronique de la machine. C'est le code qui s'exécute dans le CPU lui-même. Les modifications du microcode sont généralement appliquées lors du redémarrage du système d'exploitation Linux, mais les instructions de KernelCare vous montrent comment mettre à jour le microcode sans redémarrage.
2. Exécutez la commande suivante :

   sudo chmod 400 /sys/class/powercap/intel_rapl/*/energy_uj

Un bref aperçu de l'ornithorynque

Linux et d'autres systèmes d'exploitation surveillent la consommation d'énergie à l'aide de l'interface RAPL d'Intel. L'interface RAPL est incluse dans les processeurs Intel et AMD et surveille la consommation d'énergie du CPU afin de s'assurer que le processeur ne consomme pas trop d'énergie ou ne surchauffe pas. L'interface RAPL est accessible sans accès administratif, ce qui donne à un attaquant la possibilité de surveiller la consommation d'énergie et de déduire des valeurs en fonction des fluctuations. Les valeurs rapportées par RAPL sont accessibles sans autorisation administrative, et Intel remédie à ce problème dans son correctif en autorisant uniquement l'accès administrateur.

Les chercheurs ont combiné la puissance de RAPL avec l'abus des Software Guard Extensions (SGX) d'Intel, une fonction de sécurité qui déplace les programmes critiques tels que le système d'exploitation dans un environnement de mémoire isolé appelé enclave. SGX peut être utilisé de manière abusive par un système d'exploitation déjà compromis et remplit ses fonctions de sécurité même si un logiciel malveillant est exécuté sur le système.

En utilisant un système d'exploitation compromis, les chercheurs ont pu forcer le processeur à exécuter certaines instructions des milliers de fois dans l'enclave SGX et surveiller la consommation d'énergie à l'aide de l'interface RAPL. Les oscillations dans la consommation d'énergie ont été utilisées pour déduire des données, y compris des clés de chiffrement privées.

Jusqu'à aujourd'hui, les attaques par canal latéral de puissance étaient très imprécises, sauf si l'attaquant avait un accès physique au dispositif et était équipé d'un oscilloscope. Cette nouvelle recherche démontre que les attaques par canal latéral de puissance peuvent être réalisées à distance et avec précision. Le suivi et le rapport pour PLATYPUS se trouvent dans CVE-2020-8694 (Linux+Intel), CVE-2020-8695 (Intel), et CVE-2020-12912 (Linux+AMD).

Pour les anciennes machines, la bonne nouvelle est que la vulnérabilité n'affecte que les les nouvelles générations du processeur Intel. 

En savoir plus sur la façon dont KernelCare traite d'autres vulnérabilités critiques :

1. Zombieload - Une CVE critique pour Linux affecte presque tous les processeurs Intel
2. Des patchs sans redémarrage pour "Bleeding Tooth" sont en chemin
3. SWAPGS : Les correctifs KernelCare sont en route
4. Panique et lenteur de SACK : Les correctifs KernelCare Live sont arrivés
5. RIDL - Une autre attaque MDS dont le correctif en direct vous aurait épargné.