Les chercheurs en sécurité ont découvert un total de 125 failles de sécurité sur 13 routeurs et périphériques de stockage sur réseau (NAS) pour les petites entreprises et bureaux à domicile testés, qui peuvent les rendre vulnérables aux attaques à distance.

Les appareils allaient des appareils destinés au grand public aux appareils haut de gamme destinés aux entreprises, d'après les recherches menées par une société américaine appelée Independent Security Evaluators (ISE). Les experts se sont surtout concentrés sur les appareils de fournisseurs renommés et réputés, ce qui signifie que le problème pourrait affecter des millions d'unités. (La liste des appareils et des détails supplémentaires sont disponibles ici).

« Aujourd'hui, nous montrons que les contrôles de sécurité mis en place par les fabricants de dispositifs sont insuffisants contre les attaques menées par des adversaires distants », peut-on lire dans l'étude. Tous les appareils soumis au test avaient été mis à jour pour utiliser la dernière version du microprogramme (firmware) et ont été testés dans leur configuration par défaut.

Chacun des 13 périphériques contenait au moins une vulnérabilité d'application Web, telle qu'un scripting cross-site, une injection de commande de système d'exploitation ou une injection SQL, qui pouvait être utilisée par un attaquant pour accéder à distance au shell ou au panneau d'administration du périphérique. Une fois compromis, l'appareil peut être utilisé comme tremplin pour d'autres attaques à l'intérieur d'un réseau domestique ou d'entreprise.

D'autres failles courantes comprenaient l'authentification et les contournements d'autorisation. Dans 12 dispositifs, les chercheurs ont atteint leur objectif d'obtenir un accès à distance au niveau de la racine. Six unités peuvent être exploitées à distance sans authentification.

L’ISE a signalé les vulnérabilités aux fournisseurs concernés et a félicité la plupart d'entre eux de se mettre au travail rapidement afin d'atténuer les problèmes. (La question de savoir si des mises à jour de sécurité seront éventuellement installées est toutefois une autre question, car les consommateurs ne pensent souvent pas beaucoup à mettre à jour leurs routeurs et ne sont souvent pas conscients des vulnérabilités qu'ils présentent.) Il est inquiétant de constater que certains fournisseurs n'ont pas répondu entièrement aux rapports.

Le projet, appelé SOHOpelessly Broken 2.0, s'est appuyé sur les recherches de l'entreprise en 2013, qui ont également porté sur l'examen sous le capot de 13 routeurs et périphériques NAS et ont permis de découvrir 52 failles de sécurité. Comme le montre la nouvelle étude, les choses ne semblent pas s'être améliorées au fil des ans.

Pour plus particulièrement sur la sécurité des routeurs, voici quelques-uns de nos articles à ce sujet :