Une faille Wi-Fi des puces Broadcom permet de pirater des box internet depuis la rue

Le 16 octobre, à Paris, le chercheur en sécurité Quentin Kaiser présente à la conférence Hexacon une démonstration peu banale. Il prend la main sur des box internet d'opérateurs belges sans connaître le mot de passe de leur réseau Wi-Fi. Il lui suffit d'être à portée radio.

La faille, qu'il a baptisée WPSplinter, se loge dans le code Wi-Fi que Broadcom fournit aux fabricants de box et de routeurs. Selon le chercheur, elle y est présente depuis au moins 2010. Broadcom a refusé de lui attribuer un identifiant CVE, le numéro de référence qui permet aux équipes de sécurité de suivre une faille. Au 15 octobre, aucun des appareils touchés en Belgique n'avait reçu de correctif, selon Techzine.

Comment un simple signal Wi-Fi ouvre la box

Tout part du WPS (Wi-Fi Protected Setup), la fonction qui associe un appareil d'un simple appui sur un bouton. Chez Broadcom, elle est gérée par un ancien composant, WPS Monitor. Celui-ci recolle mal les fragments de messages qu'il reçoit : il ne vérifie pas qu'ils tiennent dans la mémoire prévue. Or ce code est joignable avant toute authentification. Le chercheur dit avoir obtenu ainsi une fuite de mémoire contrôlée et l'exécution de code sur l'appareil.

Il a fait deux démonstrations. Sur une box Askey TCG3000 d'Orange Belgium, son code a extrait la clé Wi-Fi de la mémoire et la lui a renvoyée par les ondes. Il a pu ensuite rejoindre le réseau. Sur une BBOX3V+ de Proximus, il a obtenu un accès à distance au système, uniquement à l'aide de trames Wi-Fi. « Depuis l'autre côté de la rue, on peut obtenir un accès root sur une part importante des routeurs en Belgique, et probablement ailleurs aussi », écrit-il, cité par Techzine. Il dit aussi avoir trouvé la faille en moins d'une semaine grâce aux modèles d'IA de pointe, au lieu de plusieurs mois, comme pour la faille Linux attribuée à une IA de Tencent.

Combien de box sont concernées ?

Le chercheur s'appuie sur les données du régulateur belge des télécoms pour une estimation qu'il qualifie lui-même d'approximative. Il compte environ 850 000 box chez Proximus, 500 000 chez VOO et 210 000 chez Orange Belgium, soit plus de 1,5 million au total. Ailleurs, l'ampleur reste inconnue.

Sa page de référence liste plusieurs familles de puces Broadcom (BCM3380, BCM3383, BCM33834, BCM3390, BCM63xx, BCM65xx, BCM68xx). Elle cite aussi des dizaines de modèles de TP-Link, Netgear, Nokia, Sagemcom, ZTE, Zyxel ou Cisco. Parmi les opérateurs mentionnés figurent KPN, Movistar, O2 et SFR. Des boîtiers Neuf NB6 sont aussi listés, avec une évaluation « en cours ». Le chercheur prévient que cette liste communautaire est incomplète. Une puce concernée ne prouve pas non plus qu'un micrologiciel donné est vulnérable. Aucune exploitation par des pirates n'a été signalée à ce stade.

Un correctif de 2018 que les fabricants n'ont pas appliqué

Broadcom connaît le problème depuis 2018. Le fabricant de puces a alors remplacé WPS Monitor par hostapd, un logiciel libre, et recommandé aux fabricants de migrer. Il juge l'ancien code obsolète et hors de sa période de support, d'où son refus de demander un CVE. Quentin Kaiser estime que ce correctif est incomplet. Selon lui, le silence de Broadcom explique aussi pourquoi tant de fabricants ne l'ont jamais appliqué. Le CERT/CC américain, qu'il avait sollicité, a clos le dossier le 4 août, Broadcom étant habilité à attribuer lui-même ses CVE. Pour les box les plus anciennes, qui tournent sous le système eCos, il pourrait n'exister aucune voie de migration. Le chercheur parle d'une faille qui ne sera jamais corrigée.

Il avait laissé 90 jours aux industriels à compter du 18 juillet. Selon Techzine, Proximus a rencontré le chercheur, tandis qu'Orange Belgium n'a pas répondu. Le Centre pour la cybersécurité Belgique (CCB) a été informé.

Que faire si votre box figure dans la liste ?

Faute de correctif de Broadcom, la réponse dépend de chaque opérateur :

• Ne comptez pas sur la désactivation du WPS dans les réglages. Selon le chercheur, cette option peut laisser le code vulnérable actif.
• Demandez à votre opérateur ou au fabricant si une mise à jour corrige précisément WPSplinter.
• Les entreprises peuvent repérer les appareils concernés avec le script d'identification à distance et les règles YARA publiés par le chercheur. Il faut ensuite confirmer le résultat sur la version exacte du micrologiciel.
• Par prudence, sur un site sensible équipé d'une box listée, on peut couper le Wi-Fi intégré et utiliser un point d'accès séparé et à jour, après avoir vérifié ce choix avec l'opérateur.

Reste à savoir si les opérateurs vont pousser une mise à jour à des centaines de milliers d'abonnés, et si les box sous eCos devront tout simplement être remplacées.