Un important lot de failles 0-day a été découvert dans l'implémentation du protocole Bluetooth. L’exploitation peut mener à de nombreuses attaques, dont la prise de contrôle et le vol d’informations. Les premiers correctifs sont déjà déployés, mais tous les utilisateurs ne seront pas servis.
Les huit vulnérabilités ont été découvertes par les chercheurs de la société Armis. Elles peuvent toucher un potentiel de 5,3 milliards d’appareils, un chiffre estimé par l’entreprise. Windows, Linux, Android et iOS sont touchés, puisque les brèches concernent l'implémentation du protocole Bluetooth (toutes versions confondues).
Les chercheurs ont créé une attaque nommée BlueBorne, dont le nom est repris un peu partout pour désigner finalement le lot de failles. La société de sécurité explique dans son rapport que cette attaque a le pouvoir d’engendrer de vraies catastrophes : les utilisateurs ne peuvent rien y faire tant que les correctifs ne sont pas déployés. À part bien sûr désactiver le Bluetooth.
Peu de limites aux attaques potentielles
C’est en effet la seule condition vraiment obligatoire pour que l’attaque réussisse : le Bluetooth doit être activé. Pour le reste, tout ce que l’éventuel pirate a à faire, c’est d’être suffisamment proche de la victime (maximum de 10 m) pour que le Bluetooth soit exploitable. À partir de là il est possible de déclencher une attaque de l’homme du milieu, ou de prendre le contrôle de l’appareil.
Si des pirates se penchent sur les spécificités de chaque implémentation, ils seront également en mesure de créer un ver à partir du code de l’attaque. Traduction, cette dernière peut être automatisée. Armis affirme que leurs tests leur ont permis de mettre en place un botnet, c’est-à-dire un parc d’appareils zombies obéissant aux commandes distribuées par un serveur. On connait le potentiel destructeur de ces botnets, comme l’attaque contre Dyn l’avait montré.
Armis ajoute que les chercheurs ont pu utiliser BlueBorne pour distribuer automatiquement un ransomware sur les machines infectées. Un scénario qui rappelle largement WannaCrypt : une exploitation de faille menant à une distribution semi-automatisée d’un ransomware. Avec la pagaille que l’on connait dans les entreprises, administrations et autres structures, particulièrement le système anglais de santé.
Ransomware, vol de données, espionnage, botnets et prise de contrôle sont donc au programme. Ben Seri, directeur de recherche chez Armis, estime cependant qu’il sera complexe de créer un ver capable d’automatiser intégralement le processus, à savoir chercher des appareils exploitables, disposer d’un code adapté pour chaque plateforme et lancer l’infection. Difficile, mais pas impossible. D’autant que BlueBorne permet de franchir dans certains cas les « air gaps », c’est-à-dire les machines déconnectées de tout réseau par sécurité, mais où le Bluetooth a été laissé activé (pour une souris ou un clavier par exemple).
Les failles sont classées par plateforme :
- Android : CVE-2017-0781, CVE-2017-0782, CVE-2017-0783 et CVE-2017-0785
- Linux : CVE-2017-1000251 et CVE-2017-1000250
- iOS : CVE en cours
- Windows : CVE-2017-8628
Où sont les correctifs ?
Armis précise dans son rapport qu’Apple, Google, Microsoft, Samsung ou encore la Linux Foundation ont été prévenus le mois dernier. Tous ont déjà réagi… ce qui ne signifie malheureusement pas que tout le monde soit protégé. Loin de là.
Côté Microsoft, toute version à jour de Windows est protégée contre l’exploitation de BlueBorne. Le correctif a en effet été déployé avec le Patch Tuesday de juillet. Windows 10 Mobile n'est pas concerné.
Chez Apple, il faut avoir au moins iOS 10 pour être à l’abri. Tout iPhone ou iPad sous iOS 9.3.5 ou une mouture antérieure est par contre exposé, ce qui pose la question évidemment des anciens appareils (11 % selon les statistiques d'Apple). Pour les Mac, Apple a déployé un correctif depuis longtemps. Seules les (très) anciennes machines qui n'ont plus droit à des mises à jour sont donc potentiellement touchées.
Mais comme souvent, c’est sur Android que la menace pèse le plus lourdement. Tout smartphone ou tablette ne disposant pas au minimum de Marshmallow (Android 6.X) est vulnérable. Certes le système est sorti à la fin de l’été dernier, mais on connait la vitesse à laquelle une nouvelle version majeure se répand dans le parc existant. Si l’on en croit les derniers chiffres publiés par Google, 52 % des appareils (se connectant au moins une fois par mois au Play Store) sont vulnérables. Armis a d’ailleurs publié une application pour détecter la présence des failles.
Cependant, même si les utilisateurs ont une version récente du système, ce ne sera encore pas suffisant dans de nombreux cas. Les correctifs n’ont été transmis aux constructeurs que le mois dernier, et il faut donc le temps qu’ils soient digérés par chacun avant de les déployer sur les appareils.
Côté Linux, la situation est très variable. Toutes les principales distributions sont averties du problème et y travaillent (Red Hat, Debian, Canonical, ArchLinux, Suse, ...). Les correctifs, s'ils ont lieu d'être, devraient être disponibles dans les prochains jours.
Objets connectés : le grand flou
Les ordinateurs, smartphones et tablettes ne sont pas les plus à plaindre. Les objets connectés représentent en effet un immense réservoir d’appareils dont la gestion des mises à jour est, trop souvent, très mauvaise.
Nous avons à de multiples reprises pointé les graves manquements des constructeurs avec des produits lancés sur le marché sans posséder la plus élémentaire des protections. C’est ce manque d’entretien qui a permis à des malwares comme Mirai de prospérer. On se souvient plus récemment du cas de Foscam, véritable livre blanc de tout ce qu’il faut éviter en sécurité.
Durant les dernières Rencontres mondiales du logiciel libre, Laurent Chemla, de la Quadrature du Net, nous expliquait ainsi que le recours à Linux n’était en rien une garantie de sécurité. La plupart des constructeurs choisissent en effet une version particulière du noyau pendant la phase de conception, mais qui n’est plus à jour à la sortie du produit. Sans politique d’entretien dans de nombreux cas, la liste des failles connues s’allonge, comme pour n’importe quel système d’exploitation.
La situation est d’autant plus sérieuse selon Armis que de nombreux systèmes Linux n’utilisent pas l’ASLR, qui permet de changer aléatoirement les emplacements en mémoire des composants critiques. Les attaques par exécution de code ont donc plus de facilités à se produire. Dans le cas où cette protection est présente, elle peut également être contournée dans certains cas. L’entreprise y est parvenue sur Android.
Que faire pour se protéger ?
La réponse est simple : vérifier la présence de mises à jour sur son appareil, quel qu’il soit. Une solution qui n’a rien de spécifique, les correctifs de sécurité devant toujours être installés en priorité. L’exploitation des failles est devenue graduellement avec les années une course contre la montre, chaque vulnérabilité « intéressante » pouvant faire l’objet d’un véritable trafic. Des sociétés comme Zerodium se sont d’ailleurs fait une spécialité de leur acquisition et de leur revente.
Si aucun correctif n’est disponible, il est recommandé de couper le Bluetooth aussi souvent que possible. Les risques sont plus limités dans certains scénarios, comme l’utilisation dans une voiture pour les appels ou l’écoute de la musique. Le risque zéro, bien sûr, n’existe pas.
Commentaires (68)
#1
Le FairPhone 2 a été mis à jour hier.
#2
Oui ca va devenir catastrophique ces problème de sécurité surtout sur Android et sur les objets connectés. Par exemple sur mon LG G4, que j’ai acheté l’année dernière neuf (bon prix), la dernière maj de securité date de septembre 2016 et je suis bloqué en marshmallow et je n’ai pas une version opérateur.
Donc j’imagine la situation sur les smartphone à bas coût et les objects connectés.
J’ai aussi un galaxy note 2 bloqué sous Lolilop celui de ma conjointe qui est une version operateur est encore sous kit kat.
En sachant que ce genre de est ammené à être souvent connecté au cloud, gmail, drive, carte de credit sur google play.
#3
on peut aussi imaginer que ce type de faille arrange grandement les constructeurs et opérateurs (et banques) pour que les objets vulnérables mais fonctionnels non patchable soient remplacés par leurs propriétaires
#4
Hmm et donc, du moment qu’on n’a pas d’interface bluetooth physiquement sur la machine, rien à craindre de ces vulnérabilités-là, même si le système n’est pas à jour ?
#5
Je trouve que c’est dommage de mettre cette actualité en payante
#6
Normalement pas de soucis même si le Bluetooth est simplement désactivé dans le système.
#7
Oui dommage pour les news sécurité…
#8
Étonnant de voir une faille aussi large exister. ça donne pas super confiance.
Peut etre qu’on va ENFIN avoir du right management sur le BT…
#9
J’ai la faille sur mon Moto X Style sous Nougat. Autant dire qu’elle sera jamais corrigée…
#10
#11
C’est là qu’on voit qu’Android doit vite passer sur un fonctionnement similaire à Windows. C’est à dire, arrêter de laisser les constructeurs gérer et ne leur laisser que la partie “drivers”.
Parce que là du coup, c’est au bonheur la chance de qui recevra la mise à jour si son constructeur le veut bien et si le smartphone n’est pas trop vieux…
Si j’ai bien compris, à partir d’Oreo ça change la donne de manière partielle, à savoir que le système est séparé mais que c’est toujours le constructeur qui pousse les majs.
#12
Pour les casques bluetooth, voiture avec bluetooth,… quelles sont les conséquences?
Sachant que la plus part ne sont pas “updatable”?
#13
Et je ne vous raconte pas ma tablette Samsung de 2012 qui tourne parfaitement pour laquelle il n’y a plus de mise a jour depuis bien longtemps. IL va falloir que l’Europe ou un etat se bouge pour forcer les constructeurs a fournir des updates du systeme ou patchs pendant une longue durée.
#14
Il faut arrêter de voir du complot partout.
Pour bosser dans l’embarqué, où les soucis de sécurité et de mises à jour sont problématiques, il n’y a pas de complot pour vendre plus de puce.
Seulement déjà il faut savoir que Linux embarqué dans des appareils spécifiques types IoT ont été patché par le concepteur de la puce (type Qualcomm) pour une version spécifique. Ce travail est souvent mal fait, car faire bien demande du temps ce qui a un coût direct mais aussi indirect (en retardant la diffusion du dit produit). Et cela est souvent géré aussi par des équipes chinoises ou indiennes qui sont moins regardantes sur la qualité du produit final.
Et Qualcomm et compagnie ne sont pas du genre à maintenir le produit longtemps, car après tout, le prochain processeur est déjà en cours de conception et il y a du boulot à faire dessus.
Donc tu te retrouves avec un vieux noyau pour toute la durée de vie du produit.
Du coup il est très difficile de maintenir ce qui est produit, le mettre dans le noyau officiel est impossible (trop gros et mal fait), et le maintenir par le vendeur du produit final est souvent trop délicat également.
Ils ne font pas cela par malveillance, c’est vraiment une question de coût (pour vendre des Android à vraiment pas chers, tu dois rogner sur pas mal de choses, Apple peut se permettre un suivi grâce au prix très élevé de ses appareils et à la maîtrise de la chaine de production) et de temps. Les équipes n’étant pas de tailles infinies, la diversité des produits étant énorme et le budget limité, tu ne peux pas assurer une maintenance sur le très long terme. Et vu le volume des ventes des téléphones en faveur des Android pas très chers, le consommateur soutient cette politique.
Sans compter la difficulté que représente d’utiliser un logiciel moderne sur des composants anciens. Tu ne peux pas utiliser Firefox décemment sur un PC des années 95, car Firefox et le Web exigent plus de puissance qu’à l’époque. Et essayer de maintenir une maintenance éternelle pour tout ça est vraiment très difficile.
Le changement de mentalité ne se fera que si les consommateurs le souhaitent (donc probablement quand une grande attaque de masse surviendra), si les politiques imposent un temps de maintenance minimale (comme la garantie en somme) ou via un autre business model (un abonnement permettant de payer le coût des mises à jour plutôt que de payer le produit une seule fois ce qui limite le budget pour ce genre d’activités).
Dans tous les cas, cela se traduira par une hausse des prix assez importante du secteur des technologies.
#15
#16
#17
#18
#19
“Windows, Linux, Android et iOS sont touchés, puisque les brèches
concernent l’implémentation du protocole Bluetooth (toutes versions
confondues).”
Les autres OS échappent à ces failles ?
J’ai commenté avant d’avoir fini de lire l’actu.
“Pour les Mac, Apple a déployé un correctif depuis longtemps.”
#20
J’me posais la même question sachant que j’utilise un casque et un autoradio Bluetooth tous les jours
J’ai trouvé les notes de version du firmware de mon casque :) Mais ça m’avance pas plus.
#21
#22
Pour mon véhicule (opel), l’autoradio est allumé uniquement quand la clef de contact est présente, donc tu es dans ton véhicule. Ca limite un peu.
Cependant quand on pense que l’autoradio est sur le BUS CAN principal et peux “papoter” avec l’ABS, l’airbag,… ça fait un peu flipper.
Pour la maintenance sur plusieurs années, j’ai pas trop envie non plus que le constructeur décide de retirer des fonctionnalités car il a découvert des failles dedans. Tesla a déployer une mise à jour “OTA” pour toutes les voitures 60P pour les passer en 90P pour allez plus vite se mettre à l’abri de la tempête Irma puis le 16⁄09 refera une “OTA” pour remettre comme y faut le firmware du moteur.
Je paye un appareil 1 fois, je ne fait pas de la location au bon vouloir d’un constructeur…
#23
J’ai installé l’application d’Armis. Pratique elle peut scanner les appareils à proximité. Mais là où c’est bizarre, c’est quand elle me sort que mon pc portable sous Windows présente un “medium risk” alors qu’il est à jour. 
" />
Edit : Ah tiens ça met mon casque BT en “low risk”
#24
Pour iOs apple a réduit l’impact de la faille mais ne l’a pas corrigée par contre tous les devices bloqués sous des vieux iOs ne sont pas patchés ! (< 10)
On topic :
J’ai qu’une envie une fois que les scripts seront lachés dans la nature me mettre dans une gare ou un parc très fréquenté et regarder combien de mot de passe je récupère…
Et sinon je pense qu’on va bientôt avoir des attaques ddos via 4g…
#25
Il te dit le risque de dégât au lieu du risque au sens vulnérabilité ?
#26
Je pense que seul une bon gros catastrophe pour l’image de marque (du style Galaxy Note 7) peu faire changer les chose…
" />
#27
#28
#29
#30
Euh non, au mieux il est connecté à un réseau secondaire en lecture seulement
#31
“Côté Microsoft, toute version à jour de Windows est protégée contre l’exploitation de BlueBorne. Le correctif a en effet été déployé avec le Patch Tuesday de juillet. Windows 10 Mobile n’est pas concerné.”
Que faut-il comprendre ? Que Windows 10 mobile n’est pas concerné par la faille ou pas concerné par le déploiement du correctif ?
#32
Pourquoi?
C’est si fou de penser que si on peut passer “root” au niveau kernel, on puisse potentiellement s’amuser avec les autres participants au CAN bus? Ça ne devrait pas être possible on est d’accord, mais que dans toutes les implémentations CAN bus, il n’y ai aucun lien entre BT et CAN bus…
Dans mon cas, le lien entre le boîtier de liaison BT et l’autoradio qui gère aussi tout un tas de trucs liés à la conduite…
Mais je n’en sais pas suffisamment sur l’implémentation concrète.
#33
#34
Il me semble que ce n’est pas si simple que ça, car il n’y a pas de HAL (Hardware Abstraction Layer) sur Android.
D’ailleurs si je ne me trompe pas, l’intégration d’une HAL dans Android est une des principales éviolution de la v8.0 Oreo.
#35
Quand tu vois que des chercheurs en sécurité avaient réussi à ouvrir et démarrer une voiture en hackant les capteurs de pression des pneus…
#36
#37
#38
question con: si le Bluetooth est activé mais non appairé (donc non utilisé), y a t’il un risque ?
#39
il semblerait que oui.
#40
Je trouve que l’info manque de contexte:
#41
#42
Bon sang, en y pensant, même ma chaine-hifi a le bluetooth … mais activé par défaut et impossible d’éteindre
" />
#43
#44
Et ta télé ? ou ta box ? #fear
" />
#45
D’un autre côté ces failles sont connues depuis un certain temps ( certaines en avril)
Donc attendre 1 semaine ( ou je ne sais plus exactement) de plus pour lire l’article ne va pas être un désastre non plus.
#46
bluez a été fixé sur Debian hier, mais pas encore de fix pour le kernel :‘(
#47
vraiment mal foutu le Bluetooth comme protocole, et puis c’est censé être une norme pour les objets proches, c’est quoi ce délire d’une portée de 10 mètres sans décorner à moins d’être une Girafe je vois pas la
#48
C’est parce qu’il n’a jamais été conçu pour être vraiment sécurisé. Le cryptage est faible notamment (40 bits je crois) car il s’agissait de ne pas surcharger la faible puissance des appareils mobiles de l’époque.
#49
je suis aussi inquiet à propos des voitures modernes qui ont le bluetooth pour la connexion au téléphone.
#50
Certes mais cela n’excuse rien en fait.
Tout le monde connait l’évolution de la mobilité et cette épée de Damoclès qu’est l’interconnexion des données au travers de terminaux peu sécurisés..
#51
Il y a une sorte de HAL mais partielle dans Android. Effectivement la version 8 corrige ce point, mais elle n’oblige en rien les constructeurs à proposer les mises à jour. Tout au plus elle réduit le coût de ces mises à jour.
Et si le problème est dans le pilote (cad assez bas niveau), la situation est identique à ce qui se passe actuellement : le constructeur de la puce ne met pas à jour ses drivers, donc le constructeur du téléphone est dans la merde, à moins de s’appeler Samsung et de maîtriser toute la chaîne.
#52
Le risque est mitigé en voiture. Déjà, la carrosserie fait office de cage de faraday (donc les ondes ne sortent pas trop), et en plus ta voiture est souvent en mouvement, ça complique probablement nettement l’attaque.
Mais effectivement le risque est bien là.
#53
10m, c’est proche (et c’est théorique). Ce n’est pas un protocole de très courte portée, c’est juste fait pour la proximité. Par exemple, téléphone à téléphone, mais aussi souris à ordinateur. Dans ce dernier cas si tu ne gères pas le 10m théorique tu peux toujours te brosser pour gérer le 1m séparé par un bureau en bois massif ou pire, en métal.
Ce qui ne change rien au fait que ça soit un protocole peut-être un peu bancal (je ne le connais pas assez pour le dire). Mais personne n’a rien trouvé de mieux pour le remplacer, donc …
#54
#55
#56
#57
OnePlus a t il prévu une mise à jour pour cette faille ? Que faire si on a une montre connectée ? On la met au placard jusqu’au déploiement du correctif ? Super ! 
" />
#58
#59
#60
Aucun des deux a le bluetooth, par contre il y a le RPi …
#61
#62
#63
Si on peut pirater une bagnole par son Bluetooth, les constructeurs seront responsables, protocole ou tout autre chose.
Ca fera plus ou moins de bruit suivant l’objet concerné.
#64
#65
Bien évidement. Les deux le seront. Il y a des normes.
#66
#67
Mauvais exemple, il n y a pas de lien commercial / juridique / autre entre Total et Renault.
A moins que il y a une recommandation de Total de la part de Renault, le fait d’utiliser ou pas les produit de Total et le choix de conducteur.
#68
En matière de sécurité, je ne vois malheureusement pas comment on peut incriminer le constructeur actuellement, du moment qu’il travaille “dans les règles de l’art”.
C’est comme pour la fameuse “obsolescence programmée”.
Nos appareils ont des fonctionnalités. Il permettent par exemple de nous conduire d’un point A à un point B, de téléphoner, d’utiliser des appareils Bluetooth à proximité…
Tant que les fonctionnalités sont présentes et fonctionnelles, difficile d’attaquer le constructeur. L’appareil n’a pas la fonctionnalité “protégé de toute attaque malveillante connue ou inconnue à ce jour”.
Par contre, un constructeur devrait “réparer” un appareil dont le fonctionnement a été altéré suite à une malveillance qui n’est pas du ressort de l’utilisateur ou contre laquelle il ne pouvait se prémunir.
Peut-on attaquer une constructeur de voiture car on peut ouvrir les portières à l’aide d’un cintre? Alors pourquoi s’en prendre au constructeur parce que l’autoradio peut être hacké par le Bluetooth?
–> Les constructeurs mettent à jour les équipement uniquement par soucis de leur image de marque, pas pour une question de légalité.
–> Ca va finir par poser de gros problèmes.