Vulnérabilité Reptar affectant les processeurs Intel

Le chercheur en sécurité de Google, Tavis Ormandy, a identifié une nouvelle vulnérabilité (CVE-2023-23583) dans les processeurs Intel, nommée Reptar. Cette vulnérabilité menace principalement les systèmes cloud exécutant des machines virtuelles appartenant à différents utilisateurs. Elle peut provoquer un blocage ou un plantage du système lors de certaines opérations sur des systèmes invités non privilégiés. Un utilitaire permettant de reproduire cette vulnérabilité a été publié à des fins de test.

En théorie, cette vulnérabilité pourrait être exploitée pour élever les privilèges du niveau 3 au niveau 0 (CPL0) et s'échapper des environnements isolés. Cependant, ce scénario n'a pas encore été confirmé en pratique en raison des difficultés de débogage au niveau microarchitectural. Des tests internes chez Intel ont également démontré le potentiel d'exploitation de cette vulnérabilité pour une élévation de privilèges dans certaines conditions.

D'après le chercheur, cette vulnérabilité affecte les familles de processeurs Intel Ice Lake, Rocket Lake, Tiger Lake, Raptor Lake, Alder Lake et Sapphire Rapids. Le rapport d'Intel précise que le problème concerne les processeurs Intel Core de 10e génération (Ice Lake), les processeurs Xeon Scalable de 3e génération, ainsi que les processeurs Xeon E/D/W (Ice Lake, Skylake, Haswell, Broadwell, Sapphire Rapids, Emerald Rapids, Cascade Lake, Cooper Lake, Comet Lake et Rocket Lake) et les processeurs Atom (Apollo Lake, Jasper Lake, Arizona Beach, Alder Lake, Parker Ridge, Snow Ridge, Elkhart Lake et Denverton). Cette vulnérabilité a été corrigée hier dans la mise à jour du microcode 20231114.

La vulnérabilité est due à une particularité microarchitecturale : l’exécution de l’instruction « REP MOVSB » est encodée avec un préfixe « REX » redondant, ce qui entraîne un comportement indéfini. Ce problème a été découvert lors de tests de préfixes redondants qui, en théorie, devraient être ignorés, mais qui, en pratique, provoquent des effets indésirables, comme l’ignorance des sauts inconditionnels et la perturbation de la sauvegarde des pointeurs dans les instructions xsave et call. Une analyse plus approfondie a révélé que l’ajout d’un préfixe redondant à l’instruction « REP MOVSB » corrompt le contenu du ROB (ReOrder Buffer), utilisé pour l’ordonnancement des instructions.

L'erreur serait due à un calcul incorrect de la taille de l'instruction MOVSB, entraînant une perturbation de l'adressage des instructions écrites dans le tampon ROB après une instruction MOVSB ​​comportant un préfixe excessif, ainsi qu'un désalignement du pointeur d'instruction. Cette désynchronisation peut se limiter à la perturbation des calculs intermédiaires, avec un rétablissement ultérieur d'un état cohérent. Cependant, si le plantage survient simultanément sur plusieurs cœurs ou threads SMT, il peut engendrer une corruption microarchitecturale suffisante pour provoquer un plantage.

Source: opennet.ru