Faille Wi-Fi box SFR NB6 et NB6VAC : couper le WPS ne suffit pas

Désactiver le WPS ne met pas à coup sûr une box SFR NB6 ou NB6VAC à l’abri. Le chercheur belge Quentin Kaiser a présenté le 16 octobre, à la conférence Hexacon à Paris, une liste de modèles concernés où figurent deux box SFR, les NB6 et NB6VAC, signalées mais pas confirmées vulnérables. La faille qu’il décrit permet à quelqu’un qui se trouve à portée du signal de prendre la main sur l’appareil.

Selon lui, seule une mise à jour du logiciel de la box corrige le problème, et c’est à l’opérateur qu’il faut la demander.

Une brèche ouverte avant même la connexion

Le WPS est cette fonction qui sert à brancher une imprimante ou un répéteur sans saisir la clé du réseau. Le défaut vient du logiciel que le fabricant de puces Broadcom a fourni aux constructeurs de box pour gérer cette fonction : il assemble mal certains messages reçus par radio. Quand les messages WPS arrivent en plusieurs fragments, il ne les gère pas correctement, ce qui provoque un débordement de mémoire. Un attaquant peut alors exécuter du code à distance sur l’équipement, sans la moindre connexion préalable au réseau.

Le détail change tout pour l’utilisateur. Un mot de passe de trente caractères ne bloque pas cette attaque, puisque la vulnérabilité intervient avant l’authentification normale au réseau.

L’âge du défaut surprend autant que sa nature. Le code vulnérable est présent dans le kit de développement de Broadcom depuis au moins 2010. Le fabricant ne l’a corrigé qu’à moitié en 2018, sans jamais lui attribuer de CVE, cet identifiant officiel qui permet à toute l’industrie de suivre une faille. Seize ans, donc, pour un bug que peu de monde pouvait chercher dans les listes habituelles.

NB6 et NB6VAC : ce que l’on sait, et ce que l’on ignore

Pour dresser sa liste, le chercheur a procédé à un repérage passif des réseaux Wi-Fi dans Paris, sans attaquer personne. La Box Plus de SFR, également commercialisée comme Box 7, apparaît non corrigée dans ses variantes NB6VAC-FXC-r0 et NB6VAC-FXC-r1. Les abonnés peuvent donc chercher ces références sur l’étiquette de leur appareil.

Reste une nuance, que la plupart des articles publiés ont gommée. La liste du chercheur classe les NB6 et NB6VAC comme « Reported », avec la mention « évaluation du logiciel en cours ». Ce n’est ni une confirmation ni un démenti : l’examen du logiciel de ces deux modèles n’est pas terminé. Certains médias parlent de box « non corrigées », d’autres de box « signalées », et la différence compte. Ces observations ne signifient pas que toutes les Box Plus de SFR sont vulnérables.

Aucune Freebox ne figure dans ce relevé.

SFR n’est pas seul sur la liste. La Livebox 5 d’Orange (Sagemcom Fast5656) est elle aussi identifiée comme non corrigée, alors que la Livebox 6 et la Bbox Wi-Fi 7 de Bouygues Telecom ne sont pas affectées.

Couper le WPS : une précaution, pas un bouclier

Le réflexe est logique : si la faille touche le WPS, on coupe le WPS. La manipulation se fait depuis l’interface de la box ou l’application de l’opérateur, et elle reste utile si vous n’appairez jamais d’appareil par bouton. Mais le chercheur ne dit pas si la faille reste exploitable avec le WPS coupé.

Le code fautif traite les échanges WPS avant toute authentification. Rien ne prouve donc que l’interrupteur placé dans les réglages isole réellement cette partie du logiciel. Aucun réglage de votre côté ne corrige la faille, puisque le défaut se trouve dans un logiciel que seul le constructeur ou l’opérateur peut remplacer. Couper le WPS réduit peut-être la surface d’attaque, sans qu’on puisse l’affirmer.

Changer la clé Wi-Fi, en revanche, ne sert à rien contre ce défaut. L’attaque contourne cette protection.

Une piste plus radicale existe. L’option la plus sûre, selon un site spécialisé, consiste à connecter ses appareils en Ethernet, ce qui supprime le point d’entrée radio. Un ordinateur fixe, une télévision ou une console se branchent facilement par câble. Le salon et le Wi-Fi des smartphones restent évidemment à part, et chacun jugera si le jeu en vaut la chandelle pour un risque non confirmé sur son modèle.

Le correctif, seule vraie issue

Première étape : identifier sa box. Le nom du modèle se trouve dans l’interface de gestion ou sur l’étiquette au dos de l’appareil. Les box des grands fournisseurs français reçoivent leurs mises à jour automatiquement, et les abonnés concernés ont donc intérêt à suivre les annonces de leur opérateur. Une box qui reste éteinte des semaines ou dont le redémarrage est bloqué risque de passer à côté d’un correctif.

À ce jour, les sources consultées ne font état d’aucun correctif annoncé par SFR pour les NB6 et NB6VAC. Contacter le service client de l’opérateur pour demander l’état de l’évaluation reste le seul levier à la disposition de l’abonné.

Broadcom a confirmé au chercheur connaître la vulnérabilité depuis longtemps et avoir remplacé dès 2018 son ancienne implémentation WPS. Pourtant, certains équipements semblent toujours utiliser des versions non corrigées, et des millions de box tournent encore avec la version trouée dans le monde.

Sources : universfreebox.com | selectra.info