Un chercheur en cybersécurité a présenté une faille vieille de seize ans dans les puces Wi-Fi de Broadcom, exploitable à portée du réseau sans connaître le mot de passe de la box. Il a relevé en France une Livebox 5 d’Orange et des box SFR non corrigées.
Quentin Kaiser est chercheur belge en sécurité. Il a dévoilé cette vulnérabilité le 16 octobre à la conférence Hexacon. Le point faible se loge dans une vieille implémentation du WPS, la fonction qui connecte un appareil au Wi-Fi d’une simple pression sur un bouton, sans recopier la clé. Le logiciel de Broadcom rassemble mal des messages WPS reçus en plusieurs morceaux. Ce défaut provoque un débordement mémoire et permet d’exécuter du code à distance sur l’équipement, sans la moindre connexion préalable au réseau. Broadcom traîne ce bug depuis 2010 et ne l’a corrigé qu’à moitié en 2018, sans jamais lui attribuer de CVE. Des millions de box tournent encore avec la version trouée partout dans le monde. Restent deux questions pour les abonnés français. Quels modèles sont touchés, et comment réduire le risque en attendant un correctif ?
Orange et SFR épinglés lors d’un relevé parisien
Pour établir cette liste, Quentin Kaiser a sillonné Paris et écouté passivement les réseaux Wi-Fi environnants. Dans ces mesures, la Livebox 5 d’Orange, en version Sagemcom Fast5656, est classée non corrigée. Même constat pour les box SFR Box Plus, en version NB6VAC. En revanche, la Livebox 6 d’Orange et la dernière Bbox Wi-Fi 7 de Bouygues Telecom sont corrigées, et aucune Freebox ne ressort des mesures. Un même modèle peut exister en plusieurs variantes, et ces observations ne prouvent pas que tout le parc est vulnérable.
Le chercheur n’a pas mené ce travail seul. Des agents d’intelligence artificielle l’ont assisté, pour un coût qu’il chiffre à 103 euros. « Avec des modèles d’IA de pointe, il m’a fallu moins d’une semaine », écrit Quentin Kaiser. En Belgique, il a pris le contrôle d’une box d’Orange Belgium et récupéré sa clé Wi-Fi, puis obtenu un accès en ligne de commande sur un modèle de Proximus. Il estime à 1,5 million le nombre de box potentiellement concernées dans le pays.
Quelle protection en attendant un correctif ?
Les box des grands fournisseurs français reçoivent leurs mises à jour automatiquement, et si vous êtes concerné, vous avez donc intérêt à suivre les annonces de votre opérateur. Vous pouvez désactiver le WPS inutilisé, mais sans garantie face à ce défaut. Changer seulement la clé Wi-Fi ne répare rien, puisque l’attaque frappe le logiciel qui traite les échanges WPS, avant même la moindre authentification. Pour retirer vraiment ce point d’entrée radio, il faut couper le Wi-Fi de la box sur toutes ses bandes et relier vos appareils en Ethernet, quand l’installation le permet. Les box Orange et SFR avaient connu une faille WPS en 2017, corrigée en urgence à l’époque. Puisque Broadcom a refusé tout numéro CVE, le suivi du correctif dépend de chaque fabricant et de chaque opérateur.
