Apple a bouché la faille ZombieLoad avec macOS 10.14.5

En toute discrétion, Apple a bouché une faille de sécurité énorme hier grâce à macOS 10.14.5 diffusée hier.

Nommée ZombieLoad, elle concerne encore les processeurs Intel actuels et même ceux remontant jusqu’en 2011. Cela nous rappelle forcément Meltdown et Spectre. 

Une faille facile à boucher sur Mac

ZombieLoad n’est pas une simple vulnérabilité mais est un regroupement de quatre failles de sécurité qui peuvent permettre à un hacker de voler des données sensibles sur l’ordinateur d’une personne. Historique, mots de passe, clés de chiffrement, etc.

Ce sont des chercheurs en sécurité qui l’on trouvé et détaillé. Elle est semblable à Spectre en ce sens qu’elle exploite les processus d’exécution spéculative (cf définition) qui permettent normalement aux processeurs d’accélérer certains calculs de manière prédictive. Ici, cela peut donc entraîner la récupération de données en bernant les algorithmes.

Pour se protéger sur Mac, il suffit donc de mettre à jour le système macOS vers 10.14.5 pour ceux qui ont macOS Mojave. Et si vous avez une version antérieure, Apple a aussi proposé des patchs de sécurité.

A noter que Intel parle d’une baisse des performances de 3% à 9% selon les ordinateurs après la mise en place du correctif. C’est dur non ?

EDIT : Apple a publié une liste de Mac qui ne pourront pas recevoir les correctifs a cause d’un manque de mise à jour du microcosme d’Intel :

Les Mac ne pouvant pas combler la faille ZombieLoad

• MacBook (13 pouces, fin 2009)
• MacBook (13 pouces, mi-2010)
• MacBook Air (13 pouces, fin 2010)
• MacBook Air (11 pouces, fin 2010)
• MacBook Pro (17 pouces, mi-2010)
• MacBook Pro (15 pouces, mi-2010)
• MacBook Pro (13 pouces, mi-2010)
• iMac (21,5 pouces, fin 2009)
• iMac (27 pouces, fin 2009)
• iMac (21,5 pouces, mi-2010)
• iMac (27 pouces, mi-2010)
• Mac mini (mi-2010)
• Mac Pro (fin 2010)

Ces modèles de Mac peuvent recevoir des mises à jour de sécurité pour macOS Mojave, High Sierra ou Sierra, mais ils ne sont pas capables de prendre en charge les correctifs et les mitigations en raison d’un manque de mises à jour de microcode d’Intel.