Dans le cadre d'une mise à jour hors cycle, Microsoft publie depuis ce week-end une mise à jour pour Windows qui désactive une mesure d'atténuation concernant la vulnérabilité CVE-2017-5715, alias la variante 2 de Spectre.
C'est ici une mise en application de la recommandation d'Intel qui a décidé de suspendre la diffusion du déploiement d'un patch pour Spectre en raison d'effets secondaires comme des redémarrages intempestifs, voire de la perte ou corruption de données.
La mise à jour KB4078130 s'adresse à Windows 7, Windows 8.1 et toutes les versions de Windows 10, que ce soit client ou serveur. Le cas échéant, pour les appareils impactés, la mise à jour peut aussi être téléchargée depuis le Microsoft Update Catalog.
Microsoft publie également des instructions afin de désactiver manuellement le patch problématique via des clés de registre sur le poste de travail et sur serveur.
La variante 2 de Spectre est relative à une faille matérielle de la prédiction de branchement. Elle affecte les processeurs avec la fonctionnalité d'exécution spéculative. Pour le cas de la faille elle-même, des processus malveillants peuvent accéder à des données d'autres programmes de la mémoire virtuelle.
La modification pour faire barrage aux effets secondaires se fait sans une mise à jour BIOS. Par ailleurs, les mesures contre la variante 1 de Spectre ainsi que la variante 3 de Meltdown restent en place.
Un patch en bonne et due forme ne devrait plus trop tarder. La semaine dernière, Intel a précisé qu'il est en cours de test. Cette fois-ci, il faudra éviter les mauvaises surprises. Outre Microsoft, le rétropédalage avec le patch pour la variante 2 de Spectre concerne aussi HP et Dell (avec des mises à jour BIOS), ainsi que Red Hat par exemple.
Soulignons que Microsoft avait temporairement mis en pause la diffusion de correctifs pour cause de problèmes avec des appareils équipés de processeurs AMD.
