Si vous avez des appareils qui fonctionnent sous Android, iOS, Windows ou Linux, passez immédiatement en mode « alerte maximale », car il y a des chances qu’ils soient vulnérables à l’une des huit failles zero-day que les chercheurs en sécurité de la société Armis viennent de détecter dans la technologie Bluetooth. Les attaques qu’elles permettent de réaliser sont regroupées sous le terme générique « BlueBorne ». Selon les chercheurs, elles impactent potentiellement plus de 8 milliards de terminaux, en fonction de la version Bluetooth implémentées et du système d’exploitation sous-jacent.
Ces attaques peuvent être très dangereuses car elles se font à distance, permettent de prendre le contrôle total de l’appareil et ne nécessitent aucune action de l’utilisateur. Il n’y a aucun lien web à cliquer ou fichier à télécharger, tout se passe par les ondes Bluetooth. Théoriquement, on peut donc imaginer un ver qui infecte des terminaux de proche en proche pour, par exemple, diffuser un ransomware. On aurait alors quelque chose d’équivalent à WannaCry, mais pour beaucoup plus de terminaux. Bref, un scénario catastrophe.
Une attaque BlueBorne se déroule en plusieurs étapes. Tout d’abord le pirate va chercher à localiser des connexions Bluetooth actives et récupérer leurs identifiants réseaux (BDADDR, Bluetooth Device Address). Pour cela, il suffit d’être à proximité et de capter des paquets Bluetooth avec un sniffer tel que Ubertooth One.
Si l’appareil n’émet aucun trafic Bluetooth, ce n’est pas un grand problème : l’attaquant peut se rabattre sur le trafic Wi-Fi, récupérer l’adresse MAC et essayer d’en déduire l’adresse BDADDR. Souvent, en effet, « les adresses des adaptateurs Bluetooth/Wi-Fi sont les mêmes, ou ne diffèrent que d’un bit », soulignent les chercheurs dans leur livre blanc technique.
Une fois qu’un pirate détient l’adresse BDADDR, il est en capacité d’établir une connexion, et cela même si l’appareil n’est pas en mode « découverte ». Il lui suffit ensuite de sélectionner l’une des failles détectées par les chercheurs en fonction du but recherché.
Android est en première ligne
Les appareils les plus vulnérables sont ceux qui fonctionnent sous Android, car ils sont impactés par quatre failles importantes : deux autorisent l’exécution de code à distance (CVE-2017-0781 et CVE-2017-0782), l’une permet l’interception de données (CVE-2017-0783) et une autre des fuites de données (CVE-2017-0785). Tous les appareils Android sont impactés, sauf ceux qui ne supportent que le Bluetooth Low Energy. Parmi les modèles vulnérables figurent Google Pixel, les Samsung Galaxy, Samsung Galaxy Tab, LG Watch Sport… Voici une vidéo de démonstration d’une attaque BlueBorne sur un Google Pixel. C’est assez impressionnant.
Heureusement, Google a d’ores et déjà publié un patch pour les versions Android 4 et supérieures. Le problème, comme d’habitude, c’est que les patches Android sont diffusés par les constructeurs et les opérateurs. Ils mettent donc un certain temps à arriver sur les terminaux (parfois jamais). Si vous voulez avoir le cœur net, sachez qu’Armis a développé une application qui permet de savoir si votre appareil Android, ainsi que ceux qui sont à proximité, sont vulnérables.
De leur côté, les appareils sous Linux sont vulnérables à deux failles. La première permet l’exécution de code à distance et concerne tous les systèmes avec un noyau de version 3.3-rc1 ou supérieur. La seconde permet d’exploiter une fuite de données et concernent les systèmes intégrant BlueZ, un logiciel qui gère les connexions Bluetooth au niveau du noyau Linux. Parmi les appareils impactés, il y a notamment les produits de Samsung sous Tizen OS : la smartwatch Gear S3, les Smart TV, le réfrigérateur Family Hub, etc. Aucun patch n’est disponible pour l’instant.
Windows n’est pas épargné par BlueBorne. Tous les appareils qui fonctionnent sous Vista ou supérieur sont vulnérables à une attaque par interception (CVE-2017-8628), comme le prouvent les chercheurs dans la vidéo ci-dessous. Microsoft a d’ores et déjà diffusé un patch qui comble la faille en question. Il est vivement conseillé de faire la mise à jour.
Les utilisateurs sous iOS sont également exposés, mais à moindre échelle. Certes, les chercheurs ont trouvé une faille permettant l’exécution de code à distance dans le protocole propriétaire Low Energy Audio Protocol, mais celle-ci a été corrigée dans iOS 10 et tvOS 7.2.2. A moins que vous possédiez encore un iPhone 4s ou inférieur, vous devriez être en sécurité.
Ce n’est qu’un début
Cette avalanche de failles dans Bluetooth peut surprendre. Mais selon Armis, ce n’est peut-être que le début, car la surface d’attaque de Bluetooth est grande. « Bluetooth est complexe. Trop complexe (…). Alors que la spécification Wi-Fi ne fait que 450 pages, celle de Bluetooth atteint 2822 pages », soulignent les chercheurs. Ils précisent que, jusqu’à alors, seuls le protocole Bluetooth a été scruté au sein de la communauté des experts en sécurité, pas ses différentes implémentations. « Dans le mesure où la pile [logicielle] Bluetooth est un code tellement énorme, le travail que nous présentons n’est peut-être que la partie émergée de l’iceberg », expliquent-ils. Nous voilà prévenus.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
