AMD Turin : trois failles CPU menacent les VM de Google Cloud
Trois failles side-channel touchent les puces AMD Turin sur Google Cloud : un correctif de l'OS invité et un cycle stop/start s'imposent.
Google Cloud a alerté ses clients cette semaine. En effet, trois failles de type canal auxiliaire touchent les processeurs AMD Turin utilisés par certaines de ses machines virtuelles. Pour s’en protéger, les clients doivent appliquer un correctif sur le système d’exploitation invité. Ils doivent ensuite arrêter puis redémarrer la VM.
Ce que Google a annoncé sur les failles AMD Turin
Le message de Google est direct. Ainsi, les VM Google Cloud reposant sur des puces AMD Turin nécessitent une action côté client. En effet, le fournisseur ne peut pas tout corriger seul.
Il a toutefois déjà fait sa part. Des mesures d’atténuation sont en place contre les attaques entre VM. Elles couvrent également les attaques entre une VM et l’hôte. Autrement dit, la frontière entre locataires du cloud est protégée.
En revanche, le risque persiste à l’intérieur d’une même VM. C’est pourquoi l’intervention du client devient nécessaire.
Un risque d’attaque à l’intérieur de la machine virtuelle
Les trois failles sont des vulnérabilités de type side-channel. Ce genre de défaut ne fait pas planter le système. En effet, il exploite des effets de bord du fonctionnement du processeur pour déduire des informations.
Ici, le scénario décrit est précis. D’abord, un attaquant doit exécuter du code sur le même cœur de processeur que sa cible. Ensuite, il peut tenter d’inférer des données appartenant à d’autres processus. Il pourrait également viser des données du noyau.
Concrètement, la menace concerne donc l’isolation interne d’une VM. Un processus peu privilégié pourrait espionner un processus plus sensible. Par exemple, une application compromise pourrait chercher à lire des secrets manipulés par un autre service sur la même machine.
Cette précision compte. Elle montre que le danger n’est pas un accès direct à d’autres clients du cloud. Il s’agit plutôt d’un affaiblissement des cloisons à l’intérieur d’un environnement que le client contrôle.
Comment protéger ses VM sur AMD Turin
La procédure demandée comporte deux étapes. Elles doivent être menées ensemble pour que la protection soit effective.
- Appliquer le correctif du système d’exploitation invité. Il s’agit de la mise à jour fournie par l’éditeur de l’OS qui tourne dans la VM.
- Effectuer un cycle stop/start de la VM. Google parle d’un arrêt suivi d’un démarrage. Une simple mise à jour à chaud ne suffit donc pas.
Cette seconde étape est souvent négligée. Pourtant, elle fait partie intégrante de la consigne. Par conséquent, une machine corrigée mais jamais arrêtée puis relancée ne serait pas considérée comme pleinement protégée.
Par ailleurs, l’opération a un coût opérationnel. Un arrêt interrompt le service. Les équipes doivent donc planifier une fenêtre de maintenance, notamment pour les charges de travail critiques.
Une répartition des responsabilités classique dans le cloud
Cet épisode illustre le modèle de responsabilité partagée. Le fournisseur sécurise l’infrastructure physique et l’hyperviseur. Le client, lui, reste maître de ce qui s’exécute dans sa VM. Il doit donc maintenir son système à jour.
Google a ainsi traité la partie qui dépendait de lui. Les attaques entre VM et entre VM et hôte sont atténuées. Le reste dépend des clients.
Notons enfin que les informations disponibles à ce stade ne détaillent pas les identifiants CVE des trois failles. Les administrateurs devront donc consulter les bulletins de leur éditeur de système. Ils y trouveront les versions de correctifs adaptées à leur distribution ou à leur système.
Ce qu’il faut retenir
- Trois failles side-channel concernent les VM Google Cloud sur puces AMD Turin.
- Google a déjà mis en place des mesures contre les attaques entre VM et entre VM et hôte.
- Le risque restant se situe dans la VM. En effet, un attaquant exécutant du code sur le même cœur pourrait inférer des données d’autres processus ou du noyau.
- Il faut appliquer le correctif de l’OS invité, puis effectuer un cycle stop/start de la VM.
- Il est conseillé d’inventorier d’abord les VM concernées. Ensuite, il convient de planifier la maintenance, en priorisant les machines qui hébergent des données sensibles ou plusieurs services.
- Enfin, limitez l’exécution de code non fiable sur les machines qui traitent des secrets. C’est une bonne pratique qui réduit l’impact de ce type de faille.
Source : Google Cloud Warns Three AMD Turin CPU Flaws Could Leak Data Across Processes in VMs