La CVE-2022-40982, connue sous le nom de "Downfall", est une vulnérabilité de sécurité affectant certains processeurs Intel. Découverte par le chercheur de Google, Daniel Moghimi, cette faille exploite l'instruction Gather, une fonctionnalité conçue pour accélérer la récupération de données à partir de zones mémoire non contiguës. La vulnérabilité permet à des logiciels non fiables d'accéder à des données sensibles, telles que des mots de passe et des clés de chiffrement, provenant d'autres programmes fonctionnant sur le même système.

Processeurs affectés :

La vulnérabilité Downfall touche les processeurs Intel des 6e à 11e générations, y compris :

• Processeurs Core: Skylake, Kaby Lake, Coffee Lake, Whiskey Lake, Comet Lake, Ice Lake, Tiger Lake, et Rocket Lake.
• Processeurs Xeon : Processeurs Xeon basés sur les mêmes architectures.

Les produits récents d'Intel, tels que Alder Lake, Raptor Lake et Sapphire Rapids, disposent de mesures de défense en profondeur et ne sont pas affectés par cette vulnérabilité.

Étapes de mitigation :

Pour atténuer la vulnérabilité Downfall, Intel a publié une mise à jour du microcode. Les utilisateurs doivent installer la mise à jour du microcode Intel Platform Update (IPU) 23.3, généralement obtenue auprès du fabricant d'équipement d'origine (OEM). Cette mise à jour active la mitigation par défaut, sans option pour la désactiver.

Impact sur les performances :

L'application de la mitigation peut entraîner une surcharge de performances, en particulier pour les charges de travail utilisant les instructions AVX2 et AVX-512. L'impact sur les performances peut varier en fonction du modèle spécifique du processeur et des caractéristiques de la charge de travail. Par exemple, certains tests ont montré des réductions de performances allant de 6 % à 39 % dans certains benchmarks.