Quentin Kaiser, un chercheur en sécurité belge, vient de mettre en avant un (gros) problème dans les box des fournisseurs d'accès à Internet en Belgique : une faille dans un SDK de Broadcom, qui existe depuis 2010 et qui a été corrigée en 2018, est toujours active.
La faille en question touche le Wi-Fi des box de plusieurs opérateurs, Proximus (l'opérateur historique), Voo (un opérateur spécialisé dans l'accès câblé) et Orange (qui n'est pas l'Orange français). Il suspecte que Telenet, un autre fournisseur, est aussi touché. Il estime par ailleurs à 1,5 million le nombre de modems touchés.
Une faille qui permet un accès root via le Wi-Fi
La faille, donc, permet un accès via Wi-Fi, qui donne un accès root (c'est-à-dire tous les droits, en simplifiant). Il n'y a pas besoin de connaître le mot de passe Wi-Fi, et donc tous les appareils qui sont accessibles depuis la rue (par exemple) sont vulnérables. Visiblement, une fois l'accès obtenu, il est ensuite possible de récupérer le mot de passe du réseau, par exemple. Ensuite, tout dépend de ce que veut faire le malandrin…
La faille WPSplinter passe par une mauvaise implémentation du WPS (une solution qui permet de se connecter à un réseau sans mot de passe) et elle existe dans le SDK de Broadcom depuis 2010, donc. Selon Kaiser, la faille a été corrigée par Broadcom en 2018 mais elle n'a pas été rendue publique et n'a pas reçu d'identifiant CVE (une sorte de base de données des failles, qui donne aussi un score de dangerosité). Dans les faits, les nombreux fabricants de modems qui se basent sur les puces de Broadcom n'ont donc généralement pas corrigé le problème.
Et la France ?
La liste des systèmes sur puce Broadcom comprend les BCM3380, BCM3383, BCM33834, BCM3390, BCM63xx, BCM65xx, et BCM68xx. Ce sont des composants qui équipent de nombreux routeurs dans le mode, parfois déployés par les fournisseurs. Une liste communautaire donne des exemples de produits affectés par le problème. Pour le moment, elle ne montre qu'un appareil déployé en France, qui est a priori assez rare en 2026 : la NB6 de chez SFR. Elle n'est plus commercialisée directement, mais reste présente chez de nombreux clients tout de même. Il n'est pas exclu que d'autres box des différents FAI français soient touchées.
