L’information avait tardé à sortir officiellement. Souvenez-vous Free lançait successivement deux firmware (mises à jour), l’un pour le Freebox Player, l’autre pour le Freebox Server, estampillé 3.0.3. Ce dernier avait été ensuite retiré, puis à nouveau lancé discrètement sans en donner les détails des nouveautés/ corrections liées à cette mise à jour.
La raison était finalement parue, les développeurs de la Freebox expliquant que « la mise à jour disponible corrigeait un problème de sécurité sur l’interface Freebox OS (…) Notez qu’un hotfix a été déployé sur les Freebox afin de corriger ce problème sans que faire la mise à jour ne soit nécessaire ».
Aujourd’hui on est sait un peu plus sur ce fameux problème de sécurité grâce à ce log accessible sur Milw00rm.com, et relayé par @FreeboxV6 sur Twitter.
« Free permet à ses utilisateurs de créer des connexions VPN à la maison. Dans la version 3.0.2 quand un nouvel utilisateur est créé, la demande suivante de JSON est envoyée à http://mafreebox.free.fr/api/v3/vpn/user/. Cette demande est vulnérable (CSRF) » explique Milw00rm.com. Concrètement, la faille, jugée critique, permettait à un attaquant de créer un compteur utilisateur VPN (réseau privé virtuel) sur les Freebox Révolution et d’accéder au réseau local. On comprend mieux pourquoi les développeurs Freebox ont rapidement corrigé la faille et remercié « Dau Huy Ngoc pour sa démarche responsable ». Le potentiel de cette faille était immense.
Par ailleurs, deux failles XSS avec une faible probabilité d’exploitation avaient également été découvertes par Dau Huy Ngoc (dans Contacts et RSS). Pour exploiter ces failles XSS, l’attaquant devait inciter un Freenaute à importer son fichier .vcf malveillant (VCard) ou dans la seconde faille, contrôler l’un des flux RSS de l’abonné.
Une opportunité pour les abonnés les plus curieux de participer aux nouvelles évolutions de leur…
C’est parti pour les nouveautés de la semaine ! Comme chaque dimanche, nous faisons un…
Il est encore possible de profiter du service multi-TV de Free gratuitement pendant 6 mois,…
Le régulateur actualise son dispositif d’enquêtes et renforce les informations exigées auprès des opérateurs, notamment…
Bouygues Telecom, Free et Orange affinent leur copie et préparent une nouvelle offensive pour racheter…
"Chez Free, l’égalité ne se décrète pas. Elle se construit jour après jour. Et on…