11 janvier 2018

Information sur la vulnérabilité des produits Perle à Meltdown et Spectre

Paris, le 11 janvier 2018 — Perle Systems, fabricant global de matériels de réseau, a confirmé que ses produits ne sont majoritairement pas affectés par les vulnérabilités CVE-2017-5753 et CVE-2017-5715, collectivement appelées Spectre, ou CVE-2017-5754, appelée Meltdown.

La vulnérabilité à Meltdown permet à un assaillant de contourner les barrières matérielles entre la mémoire et les applications exécutées sur l'ordinateur, pour avoir accès aux données d'accès, aux mots de passe et aux clés cryptées.

La vulnérabilité à Spectre rompt l'isolation ente les applications qui, sans cette vulnérabilité, seraient considérées comme des programmes sans erreur. Cela entraîne la fuite des secrets et des données d'un programme qui utilise d'autres processus d'une mémoire pour accéder à l'application.

Pour exploiter ces vulnérabilités, un assaillant doit pouvoir exécuter un code artisanal sur un appareil concerné. Même si une association de processeur sous-jacent et de système d'exploitation dans un produit peut être affectée par ces vulnérabilités, la plupart des produits Perle ne permettent pas aux clients d'exécuter leurs propres codes sur l'appareil, ce qui les rend invulnérables. Aucun vecteur ne permet de les exploiter.

Les Terminal Servers Série IOLAN de Perle sont, par défaut, des systèmes fermés. Cependant, ils sont considérés comme potentiellement vulnérables si un utilisateur a créé et installé son propre code à l'aide du Kit Perle Software Development, qui permet à un attaquant local sans privilège de profiter des instructions d'exécution spéculative sur les architectures modernes de microprocesseurs, pour réaliser des attaques de divulgation d'informations de canal latéral.

Perle conseille à ses client de réviser la vulnérabilité des plugins des appareils qui ont été créés et installés à l'aide du SDK de Perle. Si vous utilisez un plugin Perle, le système est fermé et donc non vulnérable.