","closed_at":"2018-10-10","content":"## Solution\n\n### Correctifs disponibles\n\nPlusieurs \u00e9diteurs ont publi\u00e9s des correctifs partiels pour les\nvuln\u00e9rabilit\u00e9s Meltdown et Spectre. Le CERT-FR recommande l'application\ndes correctifs disponibles d\u00e8s que possible.\n\n#### Apple\n\nApple indique dans une communication du 4 janvier 2017 que les syst\u00e8mes\niOS 11.2, macOS 10.13.2 et tvOS 11.2 profitent de correctifs contre la\nvuln\u00e9rabilit\u00e9 Meltdown \\[9\\].\n\nLe 8 janvier 2018, Apple a publi\u00e9 des correctifs pour ses produits iOS,\nSafari et macOS High Sierra \\[26\\].\n\n#### Mozilla\n\nMozilla a publi\u00e9 une communication annon\u00e7ant que la version 57.0.4 de\nFirefox int\u00e8gre deux correctifs de s\u00e9curit\u00e9 li\u00e9s aux vuln\u00e9rabilit\u00e9s\nd\u00e9crites dans cette alerte \\[25\\].\n\n#### Microsoft\n\nMicrosoft a annonc\u00e9 dans un communiqu\u00e9 \\[10\\] que ses navigateurs\nInternet Explorer et Edge avaient b\u00e9n\u00e9fici\u00e9 d'un correctif contre la\nvuln\u00e9rabilit\u00e9 Spectre sur les syst\u00e8mes Windows 10 et Windows Server 2016\n\\[11\\]\\[12\\]. Les correctifs de s\u00e9curit\u00e9 fournis par Microsoft sont\nn\u00e9anmoins d\u00e9pendants des logiciels anti-virus install\u00e9s sur le syst\u00e8me.\nPour tous d\u00e9tails sur l'application de ces correctifs le CERT-FR\nrecommande de se reporter au site de l'\u00e9diteur. Pour les syst\u00e8mes 32\nbits des versions ant\u00e9rieures \u00e0 Windows 10 et Windows Server 2016, un\ncorrectif sera d\u00e9ploy\u00e9 \u00e0 l'occasion de la mise \u00e0 jour mensuelle, le 9\njanvier 2018. Pour Windows Server, une simple mise \u00e0 jour ne suffit par\npour se pr\u00e9munir du probl\u00e8me. Microsoft a publi\u00e9 une s\u00e9rie de mesures \u00e0\nmettre en oeuvre pour se prot\u00e9ger \\[22\\]. Dans tous les cas, Microsoft\nconseille de mettre \u00e0 jour le micrologiciel de son processeur lorsque\ndes correctifs seront disponibles.\n\n#### SUSE\n\nDes correctifs pour les vuln\u00e9rabilit\u00e9s Spectre et Meltdown ont \u00e9t\u00e9\ndistribu\u00e9s par SUSE \\[13\\].\n\nLe 11 janvier 2018, SUSE a publi\u00e9 des correctifs pour le noyau Linux\nainsi que pour le microgiciel Intel utilis\u00e9s par ses produits\n\\[29\\]\\[30\\].\n\n#### Red Hat\n\nDes correctifs\u00a0pour les vuln\u00e9rabilit\u00e9s Spectre et Meltdown ont \u00e9t\u00e9\ndistribu\u00e9s par Red Hat \\[23\\].\n\n#### Ubuntu\n\nLe mardi 9 janvier 2018, Ubuntu a publi\u00e9 plusieurs bulletins de s\u00e9curit\u00e9\nconcernant des correctifs pour la vuln\u00e9rabilit\u00e9 Meltdown \\[27\\]. Le 11\njanvier 2018, Ubuntu a publi\u00e9 un bulletin de s\u00e9curit\u00e9 annon\u00e7ant la mise\n\u00e0 disposition d'un correctif pour le microgiciel Intel \\[31\\].\n\n#### VMware\n\nDes correctifs contre la vuln\u00e9rabilit\u00e9 Spectre ont \u00e9t\u00e9 apport\u00e9s par\nVMware pour leurs produits ESXi, Workstation et Fusion sous OS X. Il est\n\u00e0 noter que les plateformes ESXi en version 5.5 re\u00e7oivent un correctif\nseulement pour la variante CVE-2017-5715 de Spectre \\[14\\].\n\n#### Android\n\nDans leur bulletin de s\u00e9curit\u00e9 pour les correctifs du mois de janvier\n2018 \\[16\\], Android annonce ne pas d\u00e9tenir d'informations sur une\nreproduction des vuln\u00e9rabilit\u00e9s Spectre et Meltdown sur leurs appareils.\nCependant, les correctifs disponibles pour ce mois de janvier 2018\nint\u00e8grent des mesures permettant de limiter le risque de tels attaques\n\\[15\\].\n\n#### Google\n\nDans un communiqu\u00e9 sur l'\u00e9tat de ses produits face aux vuln\u00e9rabilit\u00e9s\nMeltdown et Spectre, Google annonce que Chrome OS sous Intel profite de\nla fonctionnalit\u00e9 KPTI (correctif limitant les effets de la\nvuln\u00e9rabilit\u00e9 Meltdown) pour les noyaux en versions 3.18 et 4.4 \u00e0 partir\nde la version 63 du syst\u00e8me d'exploitation \\[17\\].\n\n#### Citrix\n\nDans un avis de s\u00e9curit\u00e9 dat\u00e9 du 4 janvier 2018 Citrix annonce apporter\nun correctif de s\u00e9curit\u00e9 pour les produits Citrix XenServer 7.1 LTSR CU1\n\\[19\\].\n\n#### Amazon AWS\n\nDans un communiqu\u00e9 du 4 janvier 2018 \\[20\\], Amazon indique que les\ninstances disposant d'une configuration par d\u00e9faut (Amazon Linux AMI)\u00a0\nvont b\u00e9n\u00e9ficier d'une mise \u00e0 jour du noyau Linux pour adresser les\neffets de la vuln\u00e9rabilit\u00e9 CVE-2017-5754 (Meltdown) \\[21\\].\n\n#### Debian\n\nLe 10 janvier 2018, un bulletin de s\u00e9curit\u00e9 publi\u00e9 par Debian propose un\ncorrectif pour la vuln\u00e9rabilit\u00e9 Meltdown \\[28\\].\n\n\u00a0\n\nPour la semaine du 15 au 21 janvier 2018, les \u00e9diteurs suivants ont\npubli\u00e9s des correctifs pour Meldown et Spectre:\n\n- SUSE \\[33\\]\n- Oracle \\[34\\] \\[35\\]\n- Red Hat \\[36\\]\n- Moxa \\[37\\] (l'\u00e9diteur annonce que d'autres correctifs sont \u00e0 venir)\n\n**Le 22 janvier 2018, Intel a publi\u00e9 un communiqu\u00e9 \\[38\\] pour annoncer\nqu'ils avaient trouv\u00e9 la cause des dysfonctionnements li\u00e9s \u00e0 leur\ncorrectif. Dans certains cas, le correctif apport\u00e9 \u00e0 leur microgiciel\nprovoquait des red\u00e9marrages intempestifs. La situation n'est toutefois\npas encore r\u00e9solue. Intel conseille donc de retarder l'installation du\ncorrectif pour le microprocesseur.**\n\n**Le CERT-FR rappelle qu'il est important d'installer les correctifs de\ns\u00e9curit\u00e9 dans les plus brefs d\u00e9lais. Concernant Spectre et Meldown, il\nest n\u00e9cessaire de mettre \u00e0 jour en priorit\u00e9 les navigateurs puis les\nsyst\u00e8mes d'exploitation.\u00a0Toutefois, il est \u00e9galement important de tester\nces correctifs dans des environnements contr\u00f4l\u00e9s avant de les pousser en\nproduction. Concernant les microgiciels d'Intel, le CERT-FR\u00a0recommande\nune prudence accrue dans leurs d\u00e9ploiements voir d'attendre la version\nfinale de ces mises \u00e0 jour. En mati\u00e8re de risques, l'exploitation de la\nvuln\u00e9rabilit\u00e9 Spectre est particuli\u00e8rement\u00a0complexe et est la seule \u00e0\n\u00eatre couverte par la mise \u00e0 jour du micrologiciel.**\n\nLes 8 et 9 f\u00e9vrier 2018, plusieurs \u00e9diteurs ont publi\u00e9s des correctifs\nsuppl\u00e9mentaires:\n\n- VMware \\[39\\]\n- Red Hat \\[40\\]\n- SUSE \\[41\\]\n\nLe 20 f\u00e9vrier 2018, Intel a annonc\u00e9 que les mises \u00e0 jour de s\u00e9curit\u00e9 des\nmicrologiciels pour certaines familles de processeurs \u00e9taient\ndisponibles. Sont concern\u00e9s les processeurs de type Kaby Lake, Coffee\nLake ainsi que certains Skylake (\ncf.\u00a0