Une faille Wi-Fi de 2010 repérée sur des Livebox 5 et box Plus de SFR

Un inconnu posté dans la rue, à portée du Wi-Fi d’une box, peut en prendre le contrôle sans jamais avoir eu sa clé, si la box embarque un vieux module logiciel de Broadcom, le fabricant américain de puces. Le chercheur en sécurité Quentin Kaiser l’a démontré sur des box d’opérateurs belges et l’a présenté le 16 octobre à Hexacon, une conférence de sécurité informatique tenue à Paris. Dans ses diapositives figure aussi un relevé fait dans les rues de Paris, où deux box françaises apparaissent « non corrigées » : la Livebox 5 d’Orange et la box Plus de SFR. Depuis, la liste des appareils touchés qu’il tient en ligne s’allonge : des modèles distribués en Australie et en Turquie y ont été ajoutés le 18 octobre, selon l’historique du dépôt.

Le chercheur a baptisé la faille « WPSplinter » pour lui donner une page d’information destinée au grand public. Elle n’a pas de numéro officiel : Broadcom a refusé de lui en attribuer un. Ce refus explique en bonne partie pourquoi un défaut introduit en 2010 se retrouve encore, en 2026, dans des box installées chez des abonnés.

Ce que montre le relevé parisien

La diapositive 101, intitulée « Passive War Driving in Paris », recense six appareils croisés en écoutant les réseaux Wi-Fi alentour. Le chercheur y indique pour chacun la référence technique, la puce Broadcom et un état « Patched » (corrigé) ou « Not Patched » (non corrigé).

La référence Fast5656 désigne bien la Livebox 5, la box réservée à la fibre qu’Orange a lancée en octobre 2019 : l’équivalence est donnée par un modérateur de Lafibre.info dès son lancement et par la fiche de TechInfoDepot, et la puce notée par le chercheur, une Broadcom BCM68380, est celle que Tom’s Guide avait trouvée en démontant la box. La F5696b est la Bbox Wi-Fi 7 XT de Bouygues Telecom, d’après le site spécialisé Bbox-Mag.

Ce relevé n’est pas un inventaire. Il se limite aux box qui émettaient autour du chercheur, à une date que la diapositive ne donne pas, et elle n’explique pas comment l’état « corrigé » a été établi à partir d’une simple écoute. Il ne dit rien des Freebox, ni des autres box de SFR et de Bouygues Telecom : leur absence n’est pas une preuve qu’elles sont épargnées. Le chercheur n’a publié aucune démonstration d’attaque sur un modèle français. Sa liste en ligne et sa page d’information rangent désormais l’ancienne NB6 et la NB6VAC de SFR parmi les appareils touchés, sans préciser les versions du logiciel concernées.

Le WPS, un raccourci qui ouvre une porte

Le WPS (Wi-Fi Protected Setup) est la fonction qui permet, d’une pression sur un bouton de la box, de connecter un appareil au Wi-Fi sans taper la clé. Pour l’établir, la box et l’appareil échangent une série de messages, dont certains, trop longs, sont découpés en morceaux puis recollés à l’arrivée.

C’est dans ce recollage que se trouve le défaut. Le module de Broadcom, appelé WPS Monitor, ne vérifie pas que les morceaux reçus tiennent dans la zone de mémoire prévue pour les accueillir, explique la page d’information. En envoyant des morceaux trop nombreux ou trop gros, un attaquant déborde de cette zone et écrase ce qui suit. Il peut ainsi lire des données de la box et lui faire exécuter ses propres instructions. Surtout, ce code est accessible avant toute vérification : l’attaquant n’a besoin ni de la clé Wi-Fi ni de mener l’appairage à son terme. Il doit seulement être à portée radio.

Les démonstrations publiées dans le billet du chercheur montrent ce que cela permet. Sur une box d’Orange Belgique, le programme injecté va chercher la clé Wi-Fi dans la mémoire de l’appareil et la renvoie à l’attaquant, qui rejoint ensuite le réseau. Sur une box de Proximus, il ouvre une console de commande à distance. « Ne vous laissez pas tromper par la proximité de l’antenne. Cette attaque fonctionne à longue distance », écrit-il, sans chiffrer cette distance. Il juge ces failles idéales pour des attaques ciblées, menées depuis un bâtiment voisin ou contre le réseau d’un hôtel, qui permettent de détourner ou de collecter le trafic sur des appareils que leurs propriétaires ne surveillent guère. Une diapositive glisse en aparté que, sur les box sous Linux, un outil présent dans le logiciel de Broadcom rendrait la faille capable de se propager d’un appareil à l’autre, sans démonstration à l’appui.

Le chercheur ne fait état d’aucune exploitation par des pirates, et nous n’en avons trouvé aucun signalement.

Seize ans de vie, faute d’alerte

Le défaut est présent dans les kits logiciels de Broadcom depuis au moins 2010. Le fabricant de puces fournit ces kits aux fabricants de box (Sagemcom, Netgear, Askey…), qui les intègrent dans le logiciel interne de leurs appareils, que les opérateurs installent ensuite chez leurs abonnés. Une correction doit donc descendre trois étages avant d’arriver dans un salon.

Plutôt que de corriger complètement l’ancien module, Broadcom l’a abandonné. Dans sa réponse au chercheur, reproduite sur une diapositive, l’entreprise écrit : « Broadcom connaît cette vulnérabilité précise depuis longtemps ; d’autres entités extérieures nous l’ont également signalée. Depuis plusieurs années, Broadcom propose à ses clients un logiciel mis à jour qui en est dépourvu. » Ce logiciel repose, à partir de 2018, sur hostapd, un composant libre très répandu. Le chercheur parle d’un correctif « incomplet » publié « en silence » en 2018. Les fabricants qui n’ont pas fait la migration ont gardé la faille ; les box les plus anciennes, fondées sur un autre système (eCos), risquent selon lui de n’avoir aucune voie de migration.

L’absence de numéro CVE a pesé lourd. Le CVE est l’identifiant public qui sert de référence commune aux failles de sécurité : les outils de suivi des fabricants et des opérateurs s’appuient dessus pour savoir quoi corriger. Ces numéros sont attribués par des organismes habilités, dont de grands éditeurs pour leurs propres produits. Broadcom en fait partie, rappelle le chercheur. Selon lui, l’entreprise a refusé le 29 juillet de demander un numéro, au motif, précise la page d’information, que le logiciel concerné était obsolète et hors de sa période de maintenance. Le 4 août, le CERT/CC, centre de coordination américain auquel le chercheur s’était adressé, a clos le dossier le jour même : Broadcom étant habilité à attribuer ses propres numéros, il revenait à Broadcom de le faire. Le chercheur estime que ce refus de communiquer est « probablement la raison pour laquelle tant de fabricants n’ont pas corrigé ».

Il avait signalé la faille à Broadcom le 18 juillet, puis, le 29 juillet, a prévenu ou tenté de joindre les opérateurs belges et alerté le centre de cybersécurité belge, en fixant à tous une publication au 16 octobre, soit 90 jours. Au 15 octobre, aucun des appareils belges touchés n’avait reçu de correctif, écrit-il.

Les opérateurs français savent pourtant agir vite sur ce terrain. En août 2017, une autre faille du WPS, sans rapport avec celle-ci, touchait des Livebox et des box de SFR : Orange avait annoncé, trois jours après sa révélation, déployer un correctif, et SFR avait coupé le WPS à distance avant de remplacer les box concernées, selon Next. Mardi 20 octobre au matin, nous n’avions trouvé aucune déclaration publique d’Orange, de SFR, de Bouygues Telecom ni de Broadcom sur WPSplinter, et le CERT-FR, l’équipe d’alerte de l’agence française de cybersécurité, n’avait publié aucun avis à son sujet.

Combien de box en jeu ?

Le seul chiffre construit sur des données concerne la Belgique : le chercheur estime à au moins 1,5 million le nombre de box touchées chez trois opérateurs (850 000 chez Proximus, 500 000 chez VOO, 210 000 chez Orange Belgique), à partir du nombre d’abonnés et des modèles distribués. Il dit avoir dans ces nombres une « confiance moyenne ». Pour le monde, il avance un ordre de grandeur d’une centaine de millions d’appareils, mais à une condition explicite : que tous les opérateurs aient agi aussi imprudemment que les belges. C’est une hypothèse, pas une mesure. Pour la France, aucune estimation n’existe.

La liste en ligne compte des dizaines de modèles de fabricants très divers, des routeurs professionnels de Cisco aux box d’opérateurs australiens, turcs ou espagnols. Le chercheur prévient qu’elle est incomplète et s’attend à ce qu’elle compte à terme « des milliers » d’appareils.

La liste des appareils publiée par le chercheur, au 20 octobre à 17 h

Selon le dépôt du chercheur, avec, entre parenthèses, des opérateurs qui les distribuent :

• ARRIS : SURFboard AC1200.
• Arcadyan : VRV9517 (KPN, sous le nom Experia Box V10A ; Spark).
• Askey : TCG3000 (Orange Belgique, VOO) ; RTF3505VW (Movistar, Telefónica).
• CastleNET : NetMASTER Infinity 401MP, CBW-383ZN, CBW-383Z4, CBW-700V (Türksat Cablenet).
• Cisco : RV110W, RV130W, RV215W, RV340W, WAP121, WAP125, WAP150, WAP361, WAP371, WAP571, WAP571E, WAP581.
• Comtrend : VG8050 (Movistar, O2, Telefónica).
• Huawei : B310, B315, B593, WS880.
• MitraStar : GPT-2541GNAC (Movistar, Telefónica).
• NetComm : NF4V, NF10W, NF10WV, NF8AC, NF17ACV, NF18ACV, NF18MESH (opérateurs australiens).
• Netgear : CG3100, CG3700B (Orange Belgique, VOO).
• Neuf : NB6, NB6VAC (SFR).
• Nokia : G-140W-H, G-240W-A, G-240W-B, G-240W-C, G-240W-F, G-240W-G, G-240W-J (une vingtaine d’opérateurs, dont Proximus, Orange Côte d’Ivoire et Canalbox Caraïbes).
• Sagemcom : F@st 2504 et 2504N (Sky), F@st 3864 et 3864OP (Optus), F@st 4353 (Belong), F@st 5336 (Proximus).
• Sercomm : Group ONT L3 (Vodafone, Lowi ; noté « probable », non confirmé).
• Sky : SR203, SkyHub SR101, SkyHub SR102 (Sky, Royaume-Uni).
• Tenda : D301 et N300 (non confirmés).
• TP-Link : Archer C3150, C5400, VR600, VR900, VR2800 (Türk Telekom) ; TD-VG5612, VR1600 (opérateurs australiens).
• ZTE : F680 v4 (une vingtaine d’opérateurs, dont un « FranceReunicable ») ; 368N (KPN, sous le nom Experia Box v9 ; Türk Telekom).
• Zyxel : VMG3312-B10A, VMG3312-B10B (Türk Telekom).

La liste change plusieurs fois par jour ; elle ne garantit pas que chaque version matérielle ou logicielle d’un modèle soit touchée.

Trouvée en moins d’une semaine avec des agents d’IA

Quentin Kaiser étudie ces box depuis plusieurs années : il y avait déjà signalé des failles en 2021. Cette fois, il a confié l’analyse du logiciel à plusieurs agents d’IA spécialisés, l’un pour décortiquer le code, un autre pour y chercher des failles, un troisième pour écrire l’attaque, branchés sur de vraies box de test. Ses diapositives citent le modèle « gpt-5.6-Sol » d’OpenAI, utilisé par l’outil Codex avec un accès spécial que la diapositive nomme « Trusted Access for Cyber », et affichent un coût réel de 103 €. Ce travail a aussi mis au jour d’autres défauts. « J’aurais pu faire cette recherche seul, mais il m’aurait fallu des mois. Avec les modèles d’IA de pointe, cela m’a pris moins d’une semaine », écrit-il, en y voyant une bonne nouvelle pour qui veut ausculter les couches les plus profondes de l’infrastructure.

Cet afflux de failles trouvées par l’IA bouscule déjà les projets de logiciel libre : OpenSSH accélère ses versions et la liste de diffusion oss-security plafonne les annonces par projet. Le cas des box en montre le revers : cette recherche a coûté une centaine d’euros ; corriger la faille chez des millions d’abonnés reste une affaire de fabricants et d’opérateurs.

Abonnés Orange ou SFR : ce qui est à votre portée

Changer le mot de passe Wi-Fi ne protège de rien, puisque l’attaque n’en a pas besoin. La seule correction réelle est une mise à jour du logiciel interne de la box, que l’opérateur installe à distance. Quelques démarches sont possibles, sans garantie :

• Identifier sa box. La Livebox 5 est la box fibre d’Orange sortie en 2019 ; la box Plus de SFR porte la référence NB6VAC. Les autres équipements d’Orange relevés dans Paris (deux autres Livebox et un répéteur Wi-Fi), ainsi que la Bbox Wi-Fi 7 XT de Bouygues Telecom, apparaissent corrigés dans ce relevé.
• Désactiver le WPS si on ne s’en sert pas. Chez Orange, l’interface de la Livebox et l’application de l’opérateur affichent un réglage WPS qui peut être sur « désactivé », selon son assistance. Mais le chercheur prévient qu’il ne faut pas supposer que cela suffise : un réglage peut masquer le bouton sans retirer le code fautif.
• Interroger son opérateur. La page d’information conseille de demander au fabricant ou à l’opérateur si une mise à jour corrige précisément ce défaut. En 2017, face à une autre faille du WPS, SFR s’était engagé à remplacer les box concernées ; rien n’indique pour l’instant une démarche semblable.
• Changer la clé Wi-Fi une fois la box mise à jour. La démonstration belge montre que la clé peut être lue par l’attaquant : la renouveler après correction ferme la porte à quiconque l’aurait récupérée.

L’outil de détection publié par le chercheur, qui interroge une box par radio, exige une carte Wi-Fi particulière et des connaissances techniques : il s’adresse aux professionnels, pas aux abonnés. Pour eux, tout dépend désormais de la réponse qu’Orange et SFR donneront à une question simple : leurs Livebox 5 et box Plus recevront-elles le correctif que Broadcom propose depuis 2018 ?

Citations traduites de l’anglais par la rédaction.