Message d'alerte Bouygues Telecom Lien cliquable

Bbox

BBox SAGEM - parefeu non fonctionnel : gros bogue du firmware

Je viens de faire un contrôle du parefeu de la BBox (modèle SAGEM) et celui-ci autorise l'accès distant à son interface d'administration (en HTTP port TCP 80, ou HTTPS port TCP 443)
Et ceci même si on a configuré cette l'option d'administration à distance sur "OFF".

En fait le parefeu est mal configuré. Il faut ajouter deux règles de REDIRECTION DE PORT:

Il faut rediriger les flux entrants sur les port TCP 80 et 443 de la bbox vers l'adresse IP locale de la box (192.168.1.*) mais sur son port 9 (service "discard").

Sinon la BBox affiche bien son interface d'administration sur le web!

Avec ces redirections, une session TCP s'établit quand même sur les ports 80 et 443 de la BBox (sur son adresse IP publique Internet) mais elle aboutit à un service qui ne répond rien, donc impossible d'avoir une réponse correcte aux requêtes HTTP ou HTTPS.

Au lieu du port 9 on peut aussi redirigier vers un port dont la BBox ne se sert pas pour ses propres services, ni pour servir de port relais alloués dynamiquement dynamiques pour les sessions TCP entre les PC du réseau local et l'Internet (on ne peut pas employer les ports > 32768 qui sont réservés à cet usage) et que la BBox n'écoute pas pour ses propres besoins (par exemple le port 0).

Dans ce cas la session TCP ne s'établit même pas, l'attaquant externe ne reçoit strictement aucun acquittement TCP, le paquet de connexion TCP (trame "SYN" contenant juste la taille de fenêtre TCP demandée) reste sans réponse.

C'est un GROS bogue du firmware de la BBox Sagem, qui permet à n'importe qui d'en modifier la configuration, désactiver son parefeu, modifier le mot de passe d'administration et ouvrir le réseau local à domicile pour aller attaquer ensuite directement les PC ou appareils multimédia connectés comme les téléviseurs (dont les firmwares sont très peu protégés et facilement attaquables car souvent impossibles à mettre à jour, et qui intègrent souvent assez de puissance pour servir de passerelle relais.

Un attaquant peut donc provisoirement modifier la configuration du routeur, ensuite infecter votre téléviseur connecté pour y installer un relais, puis remettre la BBox à son état d'origine (ni vu ni connu) et enfin attaquer votre réseau local à docicile en passant par le téléviseur connecté qui retransmettra vers les cibles de son choix n'importe quel traffic local sélectionné.

PHILIPPE V.
PHILIPPE V.

PHILIPPE V.

Niveau
1
328 / 750
points

Réponses

PHILIPPE V.
PHILIPPE V.

PHILIPPE V.

Niveau
1
328 / 750
points

Je l'ai constaté en voyant que ma box avait un traffic internet important que je ne m'expliquait pas du tout et que j'avais des tas de tentative de connexions sur mon PC avec des scans externes et tentatives d'intrusion, non bloquées par le parefeu de la BBox, alors que j'avais coupé tous les services réseau classique du PC en le bootant en "safe mode".
Ce traffic important était dans les DEUX sens (entrant et sortant de la BBox), et était bien visible sur le graphique de l'interface d'administration BBox.
Un outil antivirus (Avast) permet de tester la sécurité du routeur et m'a vien indiqué que les deux ports 80 et 443 de la BBox étaient ouverts, et j'ai pu le constater en me connectant à la BBox (sur son interface d'administration web) avec un téléphone portable connecté à l'internet mobile. Le pire c'était le port 80 ouvert en HTTP, mais en HTTPS le port 443 était aussi ouvert et affichait la page de login de la BBox !

Alors je suis allé voir la page d'adminsitration de la BBox qui indiquait que l'adminsitration à distance était bien sur "OFF". Bref ce réglage "OFF" ne fonctionne pas du tout, l'interface web d'administration à distance reste bel et bien ouverte à tout le monde.

Il faut donc corriger le parefeu, l'activer s'il ne l'est pas, et activer aussi la redirection de ports pour que la redirection des ports TCP 80 et 443 entrants vers la BBox aille sur la BBox elle-même mais sur un port "neutre" (d'où le choix du port 4 de la BBox).

Note: on ne peut pas configurer une redirection de ports vers le port 0 avec l'interface web d'administration actuelle, mais le port 4 va aussi bien et ne semble perturber aucun service de la BBox (services TV, UPNP, téléphonie, mise à l'heure, DNS, etc.) ni la capacité de pouvoir administrer la BBox depuis le réseau local uniquement (cette redirection des ports 80 et 443 entrants n'a d'effet que pour le trafic venant du web, il n'y a pas de redirection de port pour le trafic issu du côté LAN).