Des SSD de marques Crucial et Samsung sont affectés par des failles de sécurité critiques. Elles peuvent permettre la récupération de données par des pirates.
Deux vulnérabilités jugées critiques ont été mises à jour par des chercheurs de l’Université Radboud aux Pays-Bas.
Leur exploitation peuvent permettre à des pirates de récupérer des données stockées sur des SSD de marque Crucial ou Samsung.
Ces failles peuvent être exploitées lorsque la fonctionnalité de chiffrement matériel des SSD est utilisée (Self-Encrypting Drive). L’outil BitLocker de Windows ne permet pas de les contrer.
Le mot de passe qui verrouille normalement l’accès aux données chiffrées du SSD ne serait pas assez protégé et pourrait être récupéré.
La première vulnérabilité baptisée CVE-2018-12037 touche les SSD Samsung 840 Evo et 850 Evo dans le cas où le mode « ATA Security » est configuré en « High » dans le BIOS.
Les SSD externes Samsung SSD T3 et T5 sont aussi touchés, tout comme les SSD Crucial MX100, MX200 et MX300.
La seconde vulnérabilité baptisée CVE-2018-12038 affecte elle uniquement le Samsung 840 Evo.
Samsung a réagit à cette découverte de failles en recommandant aux utilisateurs d’installer un logiciel de chiffrement plutôt que d’utiliser la solution de chiffrage matérielle de ses SSD internes.
Pour les SSD externes, de nouveaux firmwares sont disponibles.
Informé depuis 6 mois de ces failles tout comme Samsung, Crucial aurait précisé travailler à l’élaboration d’une mise à jour logicielle qui se fait toujours attendre.
Précision importante : d’après les chercheurs, il y a un risque que d’autres SSD soient touchés, y compris des modèles d’autres constructeurs. Ils conseillent en tous les cas d’utiliser le logiciel libre VeraCrypt en plus du chiffrement matériel.
[Source : Université Radboud]
