Intel a révélé qu’elle n’émettrait pas de correctifs Spectre à un certain nombre de familles de processeurs Intel plus anciens, laissant potentiellement de nombreux clients vulnérables à l’exploit de sécurité. Intel affirme que les processeurs affectés sont pour la plupart implémentés comme des systèmes fermés, et ne sont donc pas menacés par l’exploit Spectre, et que l’âge de ces processeurs signifie qu’ils ont une disponibilité commerciale limitée.
Les processeurs qu’Intel ne corrigera pas incluent quatre gammes de puces de 2007, Penryn, Yorkfield et Wolfdale, ainsi que Bloomfield (2009), Clarksfield (2009), Jasper Forest (2010) et les processeurs Intel Atom SoFIA à partir de 2015. Selon Tom’s Hardware, la décision d’Intel de ne pas patcher ces produits pourrait provenir de la difficulté relative de patcher l’exploit Spectre sur les systèmes plus anciens.
« Après une enquête approfondie sur les microarchitectures et les capacités du microcode pour ces produits, Intel a décidé de ne pas publier de mises à jour du microcode pour ces produits », a déclaré Intel. « Sur la base des données fournies par les clients, la plupart de ces produits sont mis en œuvre en tant que » systèmes fermés « et devraient donc être moins susceptibles d’être exposés à ces vulnérabilités ».
En raison de la nature de l’exploit Spectre, les correctifs doivent être fournis par le système d’exploitation ou une mise à jour du BIOS. Si Microsoft et les OEM de cartes mères ne distribuent pas les correctifs, leur développement n’est pas une priorité.
« Cependant, la véritable raison pour laquelle Intel a renoncé à patcher ces systèmes semble être que ni les fabricants de cartes mères ni Microsoft ne sont prêts à mettre à jour les systèmes vendus il y a dix ans », rapporte Tom’s Hardware.
Pas de craintes à avoir ?
Cela semble être une mauvaise nouvelle. Mais comme Intel l’a souligné, ce sont tous des processeurs relativement anciens — à l’exception du processeur Intel Atom SoFIA, sorti en 2015 — et il est peu probable qu’ils soient utilisés dans des environnements de haute sécurité. L’exploit Spectre est une sérieuse faille de sécurité, mais comme certains commentateurs l’ont fait remarquer ces derniers mois, ce n’est pas le genre d’exploit dont l’utilisateur lambda a à se soucier.
« Nous avons maintenant terminé la publication de mises à jour de microcodes pour les produits à microprocesseur Intel lancés au cours des 9 dernières années et qui nécessitaient une protection contre les vulnérabilités découvertes par Google Project Zero », a déclaré un porte-parole d’Intel. « Cependant, comme indiqué dans nos dernières directives de révision du microcode, nous ne fournirons pas de microcode mis à jour pour un certain nombre de plateformes anciennes pour plusieurs raisons, y compris le support limité de l’écosystème et les commentaires des clients ».
Si vous avez un vieux processeur Penryn qui traîne dans un PC de bureau, vous avez probablement davantage de risque d’une infection par un logiciel malveillant résultant d’un mauvais téléchargement que sensible à quelque chose de techniquement sophistiqué comme les vulnérabilités Spectre ou Meltdown.
