La faille wi-fi Broadcom qui fête ses 16 bougies sans CVE
Seize ans. Seize ans qu’une faille wi-fi Broadcom traîne dans le code WPS de millions de box, et toujours pas le moindre CVE attribué. Quand j’ai lu la divulgation de Quentin Kaiser la semaine dernière, j’ai reposé mon café. Pas de surprise, juste de la lassitude. J’ai vu ce genre de bug WPS passer des dizaines de fois sur mon établi, et à chaque fois la même rengaine : le constructeur dit « c’est corrigé », mais personne n’est capable de prouver quoi que ce soit. Autant dire que côté transparence, on repassera.
Le principe est simple et c’est ce qui me hérisse. À portée de Wi-Fi, sans connaître la clé du réseau, on peut faire exécuter son propre code à une box. Pas besoin d’être dans le salon, pas besoin d’un mot de passe, juste d’être à portée radio. Voilà le tableau. Et Broadcom, dans sa grande magnanimité, explique avoir remplacé le bouzin en 2018 tout en refusant d’attribuer un identifiant CVE. Une faille sans CVE, mine de rien, c’est une faille qui n’existe pas officiellement. Pratique pour les tableaux de bord de sécurité.
Ce que Broadcom appelle « remplacé » et ce que moi j’appelle « débrouille-toi »
La diapo présentée par Broadcom lors d’un passage à Paris classe noir sur blanc une Livebox Sagemcom et la NB6VAC de SFR en « Not Patched ». Traduction pour ceux qui auraient loupé la novlangue constructeur : pas corrigé. Du tout. Sur des équipements que des gens ont chez eux, branchés en permanence, souvent avec le WPS activé par défaut parce que personne n’a jamais ouvert l’interface d’admin. Du coup, on a un fabricant qui dit « on a remplacé le code en 2018 » et une réalité terrain qui dit « vos box sont toujours vulnérables ». Entre les deux, il y a un fossé que personne ne veut combler.
Je ne suis pas certain à 100% du périmètre exact de la divulgation de Kaiser, mais d’après mon expérience en atelier, quand un chercheur sérieux pointe du doigt du code WPS Broadcom, il faut s’attendre à ce que la liste des modèles concernés soit plus longue que ce que les constructeurs veulent bien admettre. J’ai encore en mémoire un client de la banlieue nantaise, l’an dernier, dont la box avait été « réinitialisée » sans que personne ne touche au bouton reset. On avait mis ça sur le compte d’un voisin farceur. Avec le recul, je me demande si ce n’était pas un peu plus mécanique que ça.
Le WPS, cette porte dérobée que tout le monde a oubliée
Le WPS, pour rappel, c’est ce petit bouton « connexion facile » qui permet d’appairer un appareil sans taper le mot de passe. Génial pour madame Michu qui veut brancher son imprimante. Catastrophique pour la sécurité, parce que le protocole a été conçu à une époque où on pensait encore que le PIN à 8 chiffres était une bonne idée. On connaît la chanson depuis 2011 avec la faille de brute force sur le PIN. Sauf que là, on ne parle même plus de casser le PIN. On parle d’exécution de code arbitraire. Un cran au-dessus dans la chaîne des emmerdes.
Ce qui me dérange profondément, c’est que WPS est activé par défaut sur un paquet de box. Les gens ne savent même pas que ça existe. Ils voient un bouton sur la façade, ils appuient quand l’imprimante refuse de se connecter, et voilà. Mine de rien, un protocole de 2006 qui permet encore en 2024 de faire exécuter du code à distance, c’est comme garder une porte de service grande ouverte parce que « de toute façon elle donne sur le jardin ». Sauf que le jardin est mitoyen avec tout le quartier.
La faille wi-fi Broadcom et l’art du CVE fantôme
Là où je décroche complètement, c’est sur la question du CVE. Broadcom refuse d’en attribuer un. Pour être honnête, ce n’est pas la première fois qu’un constructeur joue à ce petit jeu. Mais sur une faille qui touche des box opérateurs en production, l’absence de CVE n’est pas un détail administratif. C’est un problème structurel. Sans CVE, pas de référence dans les bases de vulnérabilités. Pas de scan automatisé qui remonte l’alerte. Pas de ticket ouvert dans les outils de gestion de parc. Pas de pression commerciale sur les opérateurs pour qu’ils poussent un firmware. Le CVE, c’est le seul levier un peu sérieux qu’on a pour forcer les industriels à bouger. Le retirer, c’est éteindre l’incendie en débranchant l’alarme.
Je m’attends déjà aux commentaires du genre « oui mais le WPS on peut le désactiver ». Certes. On peut aussi arrêter de fumer pour éviter le cancer, encore faut-il le savoir et avoir envie. Sur une Livebox, désactiver le WPS n’est pas exactement ce qu’on appelle une évidence pour le commun des mortels. Il faut entrer dans l’interface, chercher la bonne section, parfois passer par un menu caché selon les versions de firmware. Et je ne parle même pas des box SFR dont l’ergonomie a été visiblement conçue par quelqu’un qui n’a jamais eu à l’utiliser.
Ce que ça change concrètement pour vous, à la maison
Si vous avez une box opérateur fournie après 2018, il y a de fortes chances que vous soyez dans le scope. Si elle date d’avant, vous êtes probablement dedans aussi. Le point commun, c’est que vous ne le saurez jamais avec certitude tant que les opérateurs ne communiquent pas. Et mine de rien, c’est peut-être le plus gros problème de cette histoire : l’opacité totale. On a des chercheurs qui publient, un fabricant qui dit « c’est corrigé » sans le prouver, des opérateurs silencieux, et des utilisateurs qui n’ont aucun moyen de vérifier quoi que ce soit.
- Vérifiez si le WPS est activé sur votre box, et coupez-le si vous ne l’utilisez pas.
- Mettez à jour le firmware dès qu’une mise à jour est proposée par votre opérateur.
- Évitez les appareils qui imposent le WPS pour l’appairage, ou isolez-les sur un réseau invité.
- Si votre box a plus de cinq ans et que l’opérateur ne pousse plus de firmware, envisagez sérieusement un routeur tiers.
- Demandez à votre opérateur, par écrit, si votre modèle est concerné. La réponse vous informera sur son sérieux.
Du coup, on se retrouve avec une situation absurde : le conseil de sécurité le plus efficace que je puisse donner à mes clients en ce moment, c’est de désactiver une fonctionnalité qu’ils n’ont jamais activée consciemment. Et encore, ça ne règle pas le problème de fond. Ça le contourne. Autant dire que la vraie correction, elle n’est pas près d’arriver.
Mon avis tranché : Broadcom se moque du monde, et les opérateurs suivent
Je vais être direct, parce que je commence à avoir un certain kilométrage dans le métier. Broadcom a fait le minimum syndical. Remplacer du code sans attribuer de CVE, sans publier d’avis de sécurité détaillé, sans liste claire des produits affectés, ce n’est pas de la gestion de vulnérabilité. C’est de la gestion de réputation. On éteint le feu médiatique et on laisse pourrir les vieux modèles dans les foyers. Sauf que ces vieux modèles, ils sont connectés 24 heures sur 24, souvent avec le WPS actif, et ils servent de passerelle à tout un tas d’objets connectés que personne ne surveille.
Les opérateurs ne sont pas mieux. Une Livebox Sagemcom classée « Not Patched » sur une diapo présentée à Paris, ça devrait déclencher une communication publique. On est en 2024, quand même. Les fuites de données sont devenues des marronniers, mais sur les routeurs, silence radio. Pourquoi ? Parce que le routeur, c’est le point d’entrée de tout. Le reconnaître vulnérable, c’est reconnaître qu’on a laissé une porte ouverte chez des millions de clients. Et ça, commercialement, c’est plus compliqué à assumer qu’un simple incident de facturation.
Je ne suis pas en train de dire qu’il faut jeter Broadcom aux orties. Leur matériel équipe une bonne partie du marché, et on ne va pas réinventer la roue. Mais ce que je constate, c’est un déséquilibre total entre la gravité de la faille et la réaction industrielle. Une exécution de code à distance, sans authentification, à portée Wi-Fi, ça devrait être un P0 absolu. Pas une ligne dans une diapo et un refus de CVE.
Le précédent Windows, parce qu’il faut bien en parler
Évidemment, Windows a encore tout cassé avec la MAJ. Je sais, ce n’est pas le sujet, mais à chaque fois qu’un constructeur nous sort une excuse du genre « c’est corrigé en interne », je repense à ces mises à jour Windows qui cassent plus de choses qu’elles n’en réparent. Le parallèle n’est pas innocent : dans les deux cas, on a des équipes qui décident en vase clos, sans consulter ceux qui sont sur le terrain. Le résultat, c’est des correctifs à moitié cuits, des régressions, et des utilisateurs qui finissent par désactiver les mises à jour par pure lassitude. Sauf qu’ici, on ne parle pas d’un écran bleu. On parle d’une box qui exécute du code venu d’ailleurs.
Histoire de finir sur une note un peu moins amère : le travail de Quentin Kaiser est précieux, et il montre une fois de plus que la recherche indépendante fait le boulot que les constructeurs devraient faire en amont. Le problème, ce n’est pas la divulgation. C’est le silence qui l’entoure. Une faille wi-fi Broadcom de seize ans, c’est un signal d’alarme sur toute la chaîne. Fabricants, opérateurs, régulateurs : personne n’a envie de porter le bébé. Et pendant ce temps, dans les salons, les box continuent de tourner, WPS activé, firmware jamais mis à jour, et le moindre voisin un peu curieux peut s’amuser. Ce n’est pas une hypothèse d’école. C’est ce que je vois en intervention, semaine après semaine.
Ce qu’il faut retenir (et ce que je vais faire, moi, à mon niveau)
Concrètement, je ne peux pas patcher à la place de Broadcom. Je ne peux pas forcer Orange ou SFR à publier un avis de sécurité. Par contre, je peux faire ce que je fais depuis quinze ans : expliquer, vérifier, et adapter. Chez mes clients, le premier réflexe quand on touche à une box, c’est de vérifier l’état du WPS et de le couper si personne ne s’en sert. Ça ne résout pas la faille wi-fi Broadcom, mais ça ferme au moins une des portes les plus évidentes. Mine de rien, en sécurité, fermer une porte, c’est déjà ça de pris.
Et puis il y a la question de la pression. Si vous avez une box Sagemcom ou une NB6VAC de SFR, écrivez à votre opérateur. Demandez-lui si votre modèle est concerné par la faille WPS Broadcom divulguée par Kaiser. Demandez-lui s’il compte publier un avis. Demandez-lui une date. Pas besoin d’être agressif, juste factuel. Les opérateurs répondent quand ils sentent que le sujet remonte. C’est triste à dire, mais c’est comme ça que ça marche.
Pour ceux qui veulent creuser le détail technique et la divulgation elle-même, je vous renvoie à l’article original de Korben, qui a le mérite de poser les faits sans langue de bois : Faille WPS Broadcom sur les routeurs Wi-Fi. Lisez-le, gardez-le sous le coude, et la prochaine fois qu’un commercial vous jure que « tout est corrigé », vous saurez quoi répondre. Pour ma part, je retourne à mon atelier. Il y a une box qui m’attend, et quelque chose me dit que son WPS est encore activé.
Source : Les news de Korben — Faille WPS Broadcom : 16 ans et toujours pas de CVE
Source : article original
