Sécurité : 3 secondes pour obtenir les codes WiFi de certaines box Orange ou SFR
L’utilisateur kcdtv du forum Crack WiFi a trouvé une faille qui affecte des box de SFR. Après sa découverte, d’autres utilisateurs ont ensuite trouvé que des boîtiers d’Orange sont aussi affectés par cette faille.
Faille Zéro Day pour des boitiers d’Orange et SFR
La faille découverte de kcdtv du forum Crack WiFi exploite les paramètres par défaut des boîtiers. Plus précisément, il est possible d’exploiter l’option WPS (permettant aux appareils connectés comme les téléviseurs et autres objets « IoT » d’avoir un accès simple et rapide dans une maison) pour obtenir la clé WPS (l’accès au WiFi) en quelques secondes seulement. Ceci évidemment, si on sait comment s’y prendre et que l’on a les outils nécessaires.
Appareils susceptibles d’être exploités :
Pour l’instant, il semblerait que cette faille concerne les options par défaut des boitiers de ces opérateurs. Depuis la publication de kcdtv sur le forum voici les modems qui sont concernés :
- - Sagem Livebox 2
- - Sagem Livebox 3
- - Box SFR Neufbox 4 ((NB4-FXC-r1),
- - Box SFR Neufbox 6 (NB6V-FXC-r0)
- - Box SFR Neufbox 6V (NB6V-FXC-r1)
- - Box Numéricâble Netgear.
Orange confirme être au courant
RTL qui a contacté les deux FAI a obtenu une réponse d’Orange, mais aucune nouvelles de SFR. Orange est donc au courant de cette faille et travaille actuellement sur une mise à jour pour ses box affectés. Toujours selon les propos recueillis par RTL, Orange affirme que seul un nombre limité d’appareils serait affecté par cette faille.
Une solution temporaire pour se protéger
En attendant un retour de SFR et une mise à jour des box concernées par les deux fournisseurs internet, il y a une méthode pour se protéger. Cependant, il s’agit d’un « fix » temporaire. Il suffit de se rendre sur la page d’administration (à travers l’adresse http://192.168.1.1, http://192.168.0.1 dans un navigateur internet). Une fois connecté avec ses identifiants, il faut se rendre dans les paramètres de WIFI et de désactiver l’option WPS. On espère que les FAI Orange et SFR corrigeront rapidement cette faille. Affaire à suivre.