--- id: CP-088 slug: rowhammer-inversion-bits-memoire-dram lang: fr title: Rowhammer, l'attaque qui inverse des bits en mémoire description: Rowhammer modifie la mémoire DRAM d'un appareil sans y toucher directement. Ce que voit le salarié, comment ça marche et quels gestes adopter. canonical_url: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Rowhammer, l'attaque qui inverse des bits en mémoire », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-055 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ en: https://startbrain.io/cyberpedia/en/articles/rowhammer-dram-bit-flips/ de: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ es: https://startbrain.io/cyberpedia/es/articles/rowhammer-inversion-bits-memoria-dram/ sources: - "n": 1 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955 published: "2015-07-24" accessed: "2026-11-03" - "n": 2 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955v2 published: "2015-08-27" accessed: "2026-11-03" - "n": 3 title: Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1068/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1211/ accessed: "2026-11-03" --- # Rowhammer, l'attaque qui inverse des bits en mémoire Une règle de base de la sécurité informatique veut qu'un emplacement de la mémoire ne puisse être modifié que par les programmes autorisés à y écrire. Rowhammer contourne cette règle : en lisant très souvent certaines zones de la mémoire DRAM, un programme peut changer le contenu de cellules voisines sans y accéder [1]. Pour un salarié, le point à retenir est qu'un site web avec JavaScript suffit à mener cette attaque [1]. Elle touche le matériel lui-même, et selon les auteurs, les contre-mesures existantes en 2015 ne la bloquaient pas [1]. ## En 30 secondes - Où ça arrive : dans la mémoire DRAM des ordinateurs et appareils, y compris lorsqu'un site web exécute du JavaScript dans le navigateur [1]. - Ce que veut l'attaquant : changer des bits que son programme n'a pas le droit de modifier, par exemple pour obtenir des droits d'administrateur [1][3]. - Le réflexe : garder le système, le navigateur et les logiciels à jour, car la mise à jour régulière des logiciels est une mesure de protection citée par MITRE ATT&CK contre l'exploitation de failles [3][4]. - Si c'est déjà fait : signaler à l'équipe de sécurité tout comportement inhabituel de l'appareil, par exemple la panne soudaine d'un antivirus, que MITRE ATT&CK range parmi les signes d'une exploitation de faille [4]. ## Questions directes ### Qu'est-ce que Rowhammer ? C'est un défaut de la mémoire DRAM. Les auteurs de Rowhammer.js expliquent que des effets parasites dans la DRAM peuvent changer le contenu d'une cellule de mémoire sans y accéder, en accédant à haute fréquence à d'autres emplacements [1]. Ils précisent que ce défaut apparaît dans la plupart des barrettes de mémoire actuelles à la date de leur article [1]. ### Pourquoi ce défaut existe-t-il ? Selon la deuxième version de l'article, la DRAM a gagné en densité, et ses cellules sont donc moins isolées les unes des autres [2]. Des accès répétés à des lignes de la DRAM peuvent alors provoquer des inversions de bits aléatoires dans une ligne adjacente [2]. ### Un bit inversé, est-ce vraiment grave ? Oui, selon les mêmes auteurs. Le défaut a déjà servi à obtenir les droits root et à sortir d'un bac à sable [2]. Un bac à sable est un espace isolé où un programme est censé rester enfermé. ### Faut-il avoir accès à l'ordinateur pour l'attaquer ? Pas forcément. Rowhammer.js, selon ses auteurs, est la première attaque matérielle déclenchée à distance par logiciel : elle n'exige ni accès physique à la machine, ni exécution de code natif, ni instructions spéciales [2]. Un site web contenant du JavaScript suffit à provoquer des fautes sur le matériel distant [1]. ### Que voit la victime ? Les sources citées ici ne décrivent aucun message ni signe à l'écran. Elles indiquent que ces attaques menées par JavaScript peuvent viser des millions d'utilisateurs de façon discrète et simultanée [2]. ## Dans la peau de l'attaquant L'attaquant part d'un obstacle : un programme qui s'exécute avec peu de droits ne peut pas accéder à certaines ressources du système. MITRE ATT&CK décrit cette étape comme une élévation de privilèges, qui peut faire passer d'un niveau utilisateur aux droits SYSTEM ou root [3]. Elle peut aussi permettre de quitter un environnement virtualisé, comme une machine virtuelle ou un conteneur, pour atteindre la machine hôte [3]. Rowhammer offre un chemin pour y arriver, puisqu'il permet d'altérer la mémoire sans en avoir l'autorisation. Les auteurs de Rowhammer.js évoquent des attaques par élévation de privilèges parmi les conséquences [1]. Ils indiquent aussi qu'un site web suffit pour obtenir un accès sans restriction aux systèmes de ses visiteurs [1]. MITRE ATT&CK décrit une autre technique, l'exploitation d'une faille pour échapper à la détection, qui consiste à agir de façon à réduire la visibilité ou à se fondre dans l'activité légitime [4]. Cette fiche ne dit pas que Rowhammer a été utilisé ainsi : les sources citées ici ne le mentionnent pas. ## Ce que vous voyez à l'écran Les sources citées ici ne donnent aucune description de ce que perçoit l'utilisateur. Elles disent seulement que l'attaque par navigateur peut être menée discrètement [2]. Dans le scénario décrit par les auteurs de Rowhammer.js, la victime visite un site web qui contient du JavaScript [1]. Faute de signe visible propre à Rowhammer, les indices à surveiller sont ceux de toute exploitation de faille. MITRE ATT&CK cite des comportements anormaux de processus, comme un antivirus ou un outil de détection qui s'arrête de façon inattendue, ou des journaux qui présentent des trous [4]. ## Sous le capot La mémoire DRAM stocke les données dans des cellules organisées en lignes. Quand la densité augmente, les cellules sont moins bien isolées entre elles [2]. Lire une ligne très souvent peut alors faire basculer des bits dans la ligne voisine [2]. Les premiers exploits écrits pour tirer parti de ce défaut utilisaient du code natif et des instructions spéciales servant à vider des données du cache [2]. Toutes les études et attaques antérieures à Rowhammer.js dépendaient de la disponibilité d'une instruction de vidage du cache, afin de provoquer des accès à la DRAM à une fréquence suffisante [1]. Rowhammer.js a levé cette limite. Ses auteurs montrent qu'on peut forcer le cache à évincer rapidement ses données et déclencher le défaut avec de simples accès mémoire ordinaires [1]. L'attaque devient alors possible dans des environnements restreints, y compris de script [1]. Une stratégie d'éviction trouvée par un algorithme générique fait passer le taux d'éviction de 95,2 % à 99,99 % [2]. Les auteurs affirment que les contre-mesures existantes au moment de leur article ne protégeaient pas contre cette nouvelle attaque [1]. Dans la deuxième version, ils proposent des contre-mesures applicables immédiatement [2]. ## Autopsies ### Rowhammer.js, juillet 2015 Le 24 juillet 2015, Daniel Gruss, Clémentine Maurice et Stefan Mangard déposent sur arXiv l'article Rowhammer.js [1]. Ils y présentent une implémentation de l'attaque en JavaScript [2]. Ils décrivent une attaque entièrement automatisée, qui ne demande rien d'autre qu'un site web avec du JavaScript pour provoquer des fautes sur du matériel distant [1]. Selon eux, l'attaque fonctionne sur des systèmes du commerce et permet un accès sans restriction aux systèmes des visiteurs du site [1]. Une deuxième version paraît le 27 août 2015, et la dernière version date du 5 avril 2016 [1][2]. L'article a été accepté à la 13e conférence DIMVA en 2016 [1]. ## Ce que vous faites Les sources citées ici ne détaillent pas de geste propre à Rowhammer, ni sur la mémoire ECC ni sur les générations récentes de DDR. Elles permettent seulement de retenir la mesure générale que donne MITRE ATT&CK : mettre à jour régulièrement les logiciels, avec une gestion des correctifs pour les postes et les serveurs de l'entreprise [3][4]. Pour un salarié, cela veut dire accepter les mises à jour proposées par l'équipe informatique et ne pas les repousser sans raison. MITRE ATT&CK cite aussi des protections qui détectent les comportements d'exploitation, ainsi que l'isolation des applications par bac à sable, qui rend plus difficile la progression d'un attaquant [4]. ## Sources 1. arXiv, « Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript », 24 juillet 2015. https://arxiv.org/abs/1507.06955 (consulté le 3 novembre 2026) 2. arXiv, « Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript », 27 août 2015. https://arxiv.org/abs/1507.06955v2 (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1068/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1211/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.