La bourse est fermée

Une faille de sécurité touche 200 millions de modems en Europe

Fabrice Auclert, Journaliste

Les failles de sécurité ne concernent pas uniquement les logiciels et les applications, elles peuvent aussi se cacher dans du matériel. On se souvient récemment de la faille dans les processeurs Intel qui avait mis en danger des millions d’ordinateurs et de serveurs. Cette fois, il s’agit d’un composant Broadcom, l'un des leaders de ce secteur, et le danger est tout aussi gigantesque.

Le nom de la faille ? Cable Haunt. Quatre experts en sécurité du collectif LyreBirds l’ont découverte dans une puce qui équipe plus de 200 millions de modems câble déployés en Europe, dont des Sagemcom très présents en France. Autant dire que ça concerne peut-être un Européen sur deux, ou sur trois, selon les équipements. Il s’agit plus précisément d’une fonction de cette puce, celle qui analyse le spectre. Elle protège le modem des surtensions, mais elle permet aussi à un fournisseur d’accès à distance (FAI) de corriger un dysfonctionnement. Et c’est justement là que la vulnérabilité se trouve puisque pour se connecter sur cette puce, les identifiants sont laissés par défaut, et ils sont communs à toutes les puces.

Le Fast 3890 fait partie des modems qui intègrent cette puce Broadcom. © Sagemcom

De multiples dommages possibles

Résultat, un pirate chevronné pourrait parfaitement imiter le fournisseur d’accès et prendre la main sur cette puce. Certes, cela demande plusieurs heures de mise en œuvre, mais à l’arrivée, les dégâts pourraient être considérables. Les deux chercheurs énumèrent ainsi les dommages créés comme le contrôle à distance de l’activité sur Internet, la redirection du trafic, l’intégration dans un botnet ou encore la mise à jour du firmware. Ils proposent même une démonstration du piratage, mais aussi de tester son modem.

En l’état, ce sont les FAI qui sont chargés de corriger la faille, et plusieurs en Scandinavie ont immédiatement réagi. Le problème, c’est qu’il est compliqué pour les chercheurs de savoir si la faille est corrigée partout puisqu’elle concerne des...

> Lire la suite sur Futura