Ces routeurs Wi-Fi populaires sont des cauchemars de sécurité

Les chercheurs en sécurité d’IoT Inspector se sont associés à CHIP Magazine pour tester neuf des routeurs Wi-Fi domestiques les plus populaires à la recherche d’exploits et de vulnérabilités. Les résultats sont étonnants : non seulement ces routeurs sont mal sécurisés, mais ils souffrent également de vulnérabilités que les chercheurs en sécurité ont identifiées pour la première fois il y a des mois ou des années.

Les routeurs testés par IoT Inspector et CHIP proviennent d’ASUS, AVM, D-Link, Edimax, Linksys, Netgear, Synology et TP-Link. Ils ont tous exécuté la dernière version du firmware de leur fabricant, et il y a de fortes chances que les vulnérabilités trouvées dans ces routeurs existent dans d’autres modèles des mêmes marques.

Voici les résultats détaillés de IoT Inspector et CHIP Magazine, y compris quelques bonnes nouvelles qui prouvent l’importance de ce type de recherche.

IoT Inspector et CHIP Magazine’s Findings

Avant d’aborder tous les terribles défauts de ces routeurs populaires, je dois prendre un moment et expliquer comment IoT Inspector a effectué ces tests. Voir, IoT Inspector est une société de logiciels qui vend un outil d’analyse de sécurité automatisé pour les routeurs et autres appareils connectés.

IoT Inspector a exécuté le micrologiciel de chaque routeur via cet outil automatisé pour tester plus de 5 000 CVE et d’autres problèmes de sécurité. Voici ce qu’il a trouvé :

Voici les résultats des tests IoT Inspector et CHIP :

• Les neuf routeurs souffrent d’un total de 226 défauts.
• L’Archer AX6000 de TP-Link est le plus gros contrevenant, souffrant de 32 bogues de sécurité.
• Le RT-2600ac de Synology est juste derrière, avec 30 failles de sécurité.
• La majorité des failles de sécurité identifiées sont à risque « élevé » ou « moyen ».
• Chaque routeur testé souffre d’une vulnérabilité connue qui n’a pas été corrigée.

Bien que les chercheurs n’aient pas partagé beaucoup d’informations détaillées sur ces failles de sécurité et ces bogues, ils fait publier une vulnérabilité critique trouvée dans le routeur DIR-X460 de D-Link. En bref : IoT Inspector a trouvé un moyen d’envoyer des mises à jour de firmware malveillantes au DIR-X460 de D-Link en extrayant sa clé de cryptage.

De plus, IoT Inspector et CHIP ont publié certains des défauts les plus courants trouvés dans ces neuf routeurs :

• Mots de passe par défaut faibles, tels que « admin ».
• Informations d’identification codées en dur dans un texte douloureux – vous savez, des données non cryptées.
• Noyau Linux obsolète dans le firmware du routeur.
• Fonctionnalités multimédia et VPN obsolètes, qui pourraient être exploitées.
• Utilisation d’anciennes versions de BusyBox.

Gardez à l’esprit que n’importe qui pourrait exécuter ces tests, y compris les fabricants de routeurs. De toute évidence, les neuf marques testées ici ne prennent pas le temps de sécuriser correctement leurs produits.

La bonne nouvelle : les fabricants s’attaquent aux problèmes

Selon CHIP Magazine, chacun des neuf fabricants de routeurs a répondu à ces tests et a publié des mises à jour du micrologiciel pour remédier aux vulnérabilités de leurs produits. La plupart de ces correctifs concernent des vulnérabilités « à faible risque », mais c’est un bon début.

Voici les actions entreprises par chaque constructeur suite à cette enquête. Notez que ces puces sont traduites du rapport de CHIP, qui est en allemand.

• ASUS: ASUS a examiné nos conclusions et nous a présenté une réponse détaillée. ASUS a corrigé la BusyBox obsolète, et il y a maintenant des mises à jour pour « curl » et le serveur Web. Les problèmes de mot de passe dont nous avons averti étaient des fichiers temporaires que le processus supprime lorsqu’il est terminé. Ils ne sont pas un risque.
• Lien D: D-Link nous a remercié pour le conseil et a publié une mise à jour du firmware pour résoudre les problèmes mentionnés.
• Édimax: Edimax n’a pas fait trop d’efforts pour vérifier ces problèmes mais a publié une mise à jour pour résoudre certains problèmes.
• Linksys: Linksys résoudra tous les problèmes classés comme « élevés » et « moyens ».
• Netgear: L’équipe de Netgear a travaillé dur et a examiné tous les problèmes. Netgear pense que certaines de ses vulnérabilités « à haut risque » ne sont pas un gros problème. Il a poussé une mise à jour pour DNSmasq et iPerf, bien que d’autres problèmes doivent être résolus en premier.
• Synologie: Synology résout les problèmes que nous avons trouvés avec une mise à jour du noyau Linux. BusyBox et PHP seront mis à jour et Synology nettoiera ses certificats. Assez drôle, tous les appareils Synology bénéficient de cette mise à jour.
• Lien TP: La mise à jour de BusyBox, CURL et DNSmasq a éliminé de nombreux problèmes de TP-Link. Il a encore besoin d’un nouveau noyau, mais TP-Link a prévu plus de 50 correctifs pour son firmware.

Pour être clair, IoT Inspector n’a pas vérifié si ces correctifs fonctionnent ou non. Et même s’ils faire fonctionnent, ces routeurs sont toujours vulnérables aux exploits connus (et probablement inconnus).

Que devrais tu faire?

Que vous utilisiez ou non l’un des routeurs concernés, je vous suggère de mettre à jour manuellement le micrologiciel de votre routeur et d’activer les mises à jour automatiques (si elles ne sont pas déjà activées). Cela garantit que votre routeur est à l’abri des derniers exploits, ou du moins de ceux que les fabricants décident de corriger.

Vous devez également définir un mot de passe Wi-Fi sécurisé et désactiver des fonctionnalités telles que WPS (Wi-Fi Protected Setup) et UPnP (Universal Plug and Play), qui ouvre votre réseau aux logiciels malveillants et est régulièrement critiqué par le FBI pour ses nombreuses failles de sécurité.

Et si vous utilisez un routeur incroyablement ancien (ou un périphérique NAS, d’ailleurs), vous devriez sérieusement envisager une mise à niveau. L’ancien matériel réseau regorge souvent de vulnérabilités connues que les fabricants ne se soucient tout simplement pas de corriger.

Pour plus d’informations sur la sécurisation de votre routeur, consultez notre guide détaillé sur Mode d’emploi Geek.

Source : IoT Inspector, CHIP Magazine via Bleeping Computer