Plus de 100 millions d’objets connectés sont menacés par des failles de sécurité critiques !
Des chercheurs en sécurité informatique ont découvert plusieurs failles de sécurité critique qui affecterait plus d'une centaine de millions d'objets connectés dans le monde. Une fois exploitées, des pirates seraient en mesure de prendre le contrôle de l'un de ces appareils ou de les désactiver.
Au fil des années, de nombreuses failles de sécurité ont été détectées sur nos objets connectés à Internet. On se souvient par exemple de l'histoire de ces deux sex-toys ultra populaires truffés de vulnérabilités, ou encore de l'alerte lancée par la BBC après la découverte de nombreuses failles au sein de sonnettes connectées bon marché.
Seulement, la découverte des chercheurs en sécurité informatique de Forescout et Jsof fait plutôt froid dans le dos. En effet, ces spécialistes ont mis la main sur un lot de 9 vulnérabilités. Baptisées NAME:WRECK, ces failles menacent pas moins d'une centaine de millions d'objets connectés à travers le monde.
Si elles venaient à être exploitées, des pirates seraient à même de déclencher des attaques par déni de service (DDOS) pour soit prendre le contrôle de l'appareil ciblé via un RCE (Remote Control Execution), ou bien pour le désactiver. Si ces failles menacent bien entendu les particuliers, les chercheurs ne cachent pas leur inquiétude si des hackers décidaient de s'attaquer à des objets connectés utilisés dans des hôpitaux ou des chaînes de production de diverses industries.
Des failles extrêmement dangereuses
Bien utilisées, ces failles pourraient faire des ravages dans le réseau d'une entreprise ou d'un hôpital, puisqu'un objet connecté piraté pourrait servir de porte d'entrée aux pirates pour accéder aux serveurs de l'institution ciblée par exemple. D'après les recherches effectuées par les équipes de Forescout et Jsof, ces vulnérabilités se situent dans les librairies TCP/IP des objets connectés.
Il s'agit ni plus ni moins de lignes de code basique qui intègrent des protocoles de communication réseau pour établir les connexions entre les appareils et Internet. Les chercheurs ont écumé 15 librairies différentes utilisées sur différents appareils, et ont trouvé ces failles dans 7 d'entre elles. Après cette découverte, Forescout et Jsof ont bien entendu prévenu les constructeurs concernés, qui ont pour la plupart déployé un correctif.
À lire également : Sécurité : des millions d'objets connectés menacés par une faille dans UPnP, faites d'urgence une mise à jour
Toutes les corriger ne sera pas simple
Malheureusement, le problème n'est pas réglé pour autant, puisqu'appliquer ces mises à jour n'est pas des plus simple. Comme l'expliquent les chercheurs, corriger l'ensemble des failles va être un véritable parcours du combattant, et ce pour plusieurs raisons :
- les fabricants ne disposent pas forcément d'une fonction de mise à jour automatique du firmeware pour tous leurs appareils, ce qui signifie qu'il faut procéder au cas par cas
- Les patchs publiés s'appliquent uniquement aux librairies TCP/IP les plus récentes, or de nombreux appareils fonctionnent encore sous d'anciennes versions
- Plus grave encore, les constructeurs n'ont pas fabriqué le composant sur lequel est exécuté le code malveillant et ne savent pas quelle librairie est utilisée sur leur appareil
Vous l'aurez compris, il faudra donc du temps pour s'assurer que chacun des appareils concernés est débarrassé de ces failles. “Avec toutes ces découvertes, je sais que l'on peut avoir l'impression que nous ne faisons que mettre les problèmes sur la table, mais nous essayons vraiment de sensibiliser, de travailler avec la communauté et de trouver des moyens de les résoudre”, assure la vice-présidente de Forescout Elisa Costante.
Source : Wired