Récemment, une grave vulnérabilité de sécurité numérotée CVE-2025-10263 a été officiellement divulguée et il a été confirmé qu'elle affectait plusieurs cœurs de processeur de l'architecture Arm, couvrant les dernières et premières générations de produits. La vulnérabilité, classée « critique », permet à un attaquant d'exploiter les conditions de synchronisation lors de modifications spécifiques des autorisations de mémoire pour obtenir une élévation de privilèges locale sur le système affecté.
Selon des informations publiques, la cause première du problème est que lors de l'exécution d'une opération d'invalidation TLB (TLBI), l'achèvement de l'accès mémoire concerné n'est pas strictement garanti par l'achèvement du TLBI.
Dans certains scénarios, ce comportement peut conduire à des écritures illégales sur des ressources qui devraient appartenir à un niveau d'exception plus élevé (comme un niveau de privilège plus élevé), devenant ainsi un moyen pour les attaquants d'élever leurs privilèges.
Bien que la vulnérabilité ait reçu un numéro en 2025, elle n’a été officiellement divulguée publiquement qu’en juin 2026.
Arm a donné une liste assez longue des cœurs concernés dans son avis de sécurité.
Il s'agit notamment des derniers C1-Ultra et C1-Premium, ainsi que des précédents Neoverse V3, V3AE, V2, V1, N2, N1 et d'autres séries de cœurs pour serveurs et centres de données.
Dans le même temps, un grand nombre de séries Cortex destinées aux appareils mobiles et clients hautes performances sont également concernées, notamment Cortex-X925, Cortex-X4, Cortex-X3, Cortex-X2, Cortex-X1 et X1C, ainsi que des modèles tels que Cortex-A710, Cortex-A78, A78AE, A78C, Cortex-A77, Cortex-A76 et A76AE.
En réponse à ce problème, les suggestions d'atténuation au niveau logiciel données par Arm sont les suivantes : tout logiciel qui effectue des opérations d'invalidation TLB applicables aux informations de table de pages de premier niveau ou de premier niveau plus deuxième niveau doit effectuer une opération TLBI supplémentaire et coopérer avec DSB (Data Synchronization Barrier, barrière de synchronisation des données) pour garantir que l'accès à la mémoire concerné est effectué correctement avant que les autorisations ne soient modifiées.
Les détails techniques correspondants et les solutions d'atténuation recommandées ont été documentés dans l'avis de sécurité publié par Arm.
La communauté Linux a répondu immédiatement et a fourni des correctifs au noyau pour mettre en œuvre les mesures d'atténuation ci-dessus.
Les développeurs d'Arm ont soumis aujourd'hui une série de correctifs à la liste de diffusion du noyau Linux pour réduire le risque d'exploitation des vulnérabilités en ajustant les chemins de code pertinents afin de garantir que les TLBI et DSB nécessaires sont ajoutés lors de l'exécution de pannes TLB dans les scénarios concernés.
Le correctif a été soumis au noyau principal et devrait être publié pour les utilisateurs via des mises à jour de distribution majeures.
En plus des processeurs Arm officiellement répertoriés, NVIDIA a également confirmé que ses derniers cœurs Olympus sont également affectés par CVE-2025-10263.
NVIDIA a souligné dans un autre correctif soumis au noyau Linux que le noyau Olympus utilisé dans sa nouvelle génération de processeurs NVIDIA Vera présentait le même problème et a introduit des mesures d'atténuation correspondantes via des correctifs ultérieurs pour être cohérents avec les correctifs universels en amont.
En termes de risques réels, puisque cette vulnérabilité peut réaliser des opérations d'écriture sur des ressources à privilèges élevés dans certaines conditions et peut théoriquement fournir aux attaquants un moyen d'élever les privilèges locaux, il n'est pas surprenant qu'elle soit classée comme « critique ».
Cependant, aucun cas d’utilisation réel à grande échelle n’a été signalé publiquement à l’heure actuelle. L'industrie se concentre principalement sur la réalisation des réparations au niveau du noyau et du logiciel système dès que possible afin d'éviter d'éventuels scénarios d'attaque ultérieurs.
Pour les utilisateurs de Linux et les opérateurs de serveurs, l'action la plus critique à l'heure actuelle est de prêter attention aux mises à jour du noyau qui seront fournies par les principales distributions et de terminer le déploiement de la mise à niveau dès que possible.
Avant cela, les fournisseurs de services cloud, les grands centres de données et les fabricants d'équipements basés sur la plate-forme Arm concernée doivent également évaluer les modèles de processeur et les scénarios de charge de travail utilisés par leur propre matériel, et suivre rapidement les recommandations d'atténuation émises par les communautés Arm et Linux.