Livebox Orange, box SFR : une faille permet de pirater votre Wi-Fi sans mot de passe

Le chercheur belge Quentin Kaiser a montré comment prendre le contrôle de box internet à portée de Wi-Fi sans connaître leur mot de passe, grâce à un défaut logiciel de Broadcom présent depuis au moins 2010. Dans un relevé effectué à Paris, il classe la Livebox 5 d’Orange et la Box Plus de SFR parmi les modèles non corrigés.

Une faille permet de pirater le Wi-Fi sans mot de passe. Des boxs d’Orange et SFR seraient exposées. // Source : Montage Frandroid

Si vous êtes chez Orange avec une Livebox 5 ou chez SFR avec une Box Plus, surveillez les annonces de votre opérateur ces prochaines semaines : c’est lui qui pousse les mises à jour de votre box internet. Le 16 octobre, à Hexacon, une conférence de sécurité informatique organisée à Paris, le chercheur belge Quentin Kaiser a présenté une faille dans le Wi-Fi de nombreuses box internet.

Il la détaille dans un long billet publié sur son site le même jour. Un pirate qui se trouve à portée du réseau peut faire exécuter ses propres commandes par la box sans connaître la clé Wi-Fi. D’après le repérage de réseaux que le chercheur a mené à Paris, ces deux modèles français (Livebox 5 et Box Plus) apparaissaient comme non corrigés au moment du relevé.

Broadcom à l’origine de la faille

Le problème vient de Broadcom, un fabricant américain de puces. En plus des puces Wi-Fi, il fournit aux fabricants de box un kit logiciel (SDK) pour les faire fonctionner. Selon Quentin Kaiser, le code fautif se trouve dans ce kit depuis au moins 2010. Broadcom a discrètement publié une correction incomplète en 2018. Ensuite, il a conseillé aux fabricants de passer à hostapd, un autre logiciel qui gère les fonctions de point d’accès Wi-Fi. Le changement demande un gros travail d’adaptation, en particulier sur les vieilles box, et beaucoup de fabricants ne l’ont pas fait.

Surtout, Broadcom a refusé d’attribuer un numéro CVE à la faille. Ce numéro sert à suivre une vulnérabilité d’un fabricant à l’autre. Pour le chercheur, ce refus explique sans doute pourquoi tant de fabricants n’ont rien corrigé. Il parle de dizaines de marques, de centaines de produits et de millions de points d’accès Wi-Fi touchés dans le monde.

Le WPS, une porte d’entrée qui ne demande pas de clé

La faille passe par le WPS (Wi-Fi Protected Setup). Cette fonction permet de connecter un appareil en appuyant sur un bouton de la box, sans recopier la clé Wi-Fi. Pour y arriver, la box échange quelques messages avec l’appareil avant que la connexion soit vraiment établie, et ces messages arrivent parfois en plusieurs morceaux.

Le logiciel de Broadcom recolle mal ces morceaux. Il ne contrôle pas assez leur longueur, si bien qu’un message piégé déborde de la zone de mémoire prévue pour lui. Quentin Kaiser se sert de ce débordement pour lire des données dans la mémoire de la box. Il parvient ensuite à lui faire exécuter ses propres instructions.

Pour trouver ce bug, Quentin Kaiser s’est fait aider par des agents d’IA. Il écrit qu’avec les modèles d’IA les plus avancés, il lui a fallu moins d’une semaine, là où il aurait mis des mois seuls. Pour lui, un vieux code ne peut plus compter sur sa complexité pour rester à l’abri.

C’est une faille à prendre au sérieux : même un mot de passe à rallonge et bien complexe ne protège de rien ici. L’attaquant doit simplement être à portée du Wi-Fi visé. Il n’a besoin ni de la clé du réseau ni d’aller au bout d’un appairage WPS normal. Dans ses vidéos, l’antenne est posée tout près de la box, mais le chercheur précise que l’attaque fonctionne aussi à longue distance.

Ses démonstrations ont été faites en Belgique, sur des box de Proximus, de VOO et d’Orange Belgium. Sur l’Askey TCG3000 d’Orange Belgium, il récupère la clé Wi-Fi enregistrée dans la box, puis il se connecte au réseau comme n’importe quel membre du foyer. Il estime le nombre de box concernées à environ 850 000 chez Proximus, 500 000 chez VOO et 210 000 chez Orange Belgium. Lui-même dit n’être que moyennement sûr de ces chiffres. Selon lui, aucun de ces appareils n’était corrigé au 15 octobre.

Livebox 5 et Box Plus classées non corrigées à Paris

Dans sa présentation (PDF), Quentin Kaiser consacre une diapositive à la France, et plus précisément à Paris, où il a écouté passivement les réseaux Wi-Fi environnants. Il a classé les box repérées selon qu’elles semblaient corrigées ou non. Le site spécialisé AlloForfait a fait le lien entre ces références techniques et les box des opérateurs :

Orange : la Livebox 5 (référence Sagemcom Fast5656) est classée non corrigée.
SFR : la Box Plus, aussi appelée SFR Box 7 (références NB6VAC-FXC-r0 et r1), est classée non corrigée.
Orange : la Livebox 6 (Fast5670), un autre modèle référencé Fast5698 et un répéteur Wi-Fi 6 Sercomm sont classés corrigés.
Bouygues Telecom : la Bbox Wi-Fi 7 (Sagemcom F5696b) est classée corrigée.

Des box Orange et SFR sont classées en « non corrigée ». // Source : Quentin Kaiser

Aucune Freebox n’apparaît dans ce relevé. Attention toutefois à ne pas en tirer de conclusion sur toutes les Livebox 5 ou toutes les Box Plus : une même génération de box existe en plusieurs variantes, et le chercheur n’a observé que des réseaux parisiens. Pour aider à mesurer l’ampleur du problème, il a publié sur GitHub des outils qui détectent l’ancien composant Broadcom à partir des réponses Wi-Fi d’un appareil.

Le calendrier qu’il publie liste les signalements envoyés à Broadcom les 18 et 27 juillet, puis, le 29 juillet, ses prises de contact avec les opérateurs belges et le Centre pour la cybersécurité Belgique. Aucun opérateur français ne figure dans cette liste. On ne sait donc pas si Orange et SFR ont été prévenus avant la conférence.

Les risques à connaître

Quels risques pour les abonnés ? Un pirate qui contrôle une box peut s’en servir pour attaquer le réseau local, c’est-à-dire les ordinateurs, téléphones et objets connectés de la maison. Il peut aussi modifier les réglages de la box et intercepter ou manipuler le trafic qui passe par elle. En revanche, les mots de passe et les contenus protégés par HTTPS, le chiffrement des sites sécurisés signalé par le cadenas du navigateur, ne deviennent pas lisibles pour autant.

Il faut aussi que le pirate soit physiquement près de chez vous. Quentin Kaiser voit donc surtout dans cette faille un outil pour des attaques ciblées, menées à proximité, contre des appareils que les équipes de sécurité ont beaucoup de mal à surveiller.

Que faire en attendant ? Les box des grands opérateurs français se mettent à jour automatiquement : si Orange ou SFR déploie un correctif, vous n’aurez rien à faire. Changer la clé Wi-Fi ne sert à rien, puisque l’attaque n’en a pas besoin. Désactiver le WPS dans l’interface de la box ne coûte rien, mais rien ne garantit que cela suffise contre cette faille. La seule parade sûre consiste à couper le Wi-Fi de la box sur toutes les bandes et à brancher vos appareils en Ethernet, ce qui n’est pas réaliste pour la plupart des foyers.

Les meilleures box Internet