Alors que deux failles critiques dans PHP doivent faire l’objet d’un correctif d’urgence, un recensement mondial révèle une forte exposition des Freebox sur Internet. Près de deux millions d’adresses IP françaises seraient concernées, sans que cela signifie pour autant que les box sont directement vulnérables.
La France se retrouve au premier rang mondial d’un classement dont Free se serait bien passé. Selon un recensement réalisé par la société britannique Infrawatch, près de deux millions d’adresses IP françaises exposent des services utilisant PHP sur Internet. Il s’agirait en grande majorité de Freebox, alors que les responsables de ce langage informatique doivent publier ce mercredi un correctif d’urgence pour deux failles critiques. Ces chiffres, rapportés par Frandroid à partir des travaux d’Infrawatch, soulèvent des questions sur la sécurité des équipements de l’opérateur. Ils ne prouvent toutefois pas que les box concernées sont vulnérables ou qu’elles peuvent être piratées à distance.
Pour mesurer l’ampleur du phénomène, Infrawatch a analysé les services PHP accessibles sur Internet au cours des dernières 48 heures. Au total, l’entreprise a recensé 4,38 millions d’adresses IP dans le monde, dont 1,97 million en France. Une grande partie de ces adresses correspondrait à des Freebox, sur un parc de 7,6 millions d’abonnés fixes revendiqués par Free.
Le constat est encore plus marqué lorsque l’on comptabilise les services exposés sur les différents ports réseau, plutôt que les seules adresses IP. La France totalise alors 6,62 millions d’entrées sur les 11 millions recensées dans le monde, soit environ 62 % du total. À lui seul, le réseau de Free représenterait 6,37 millions de services exposés, soit treize fois plus que le deuxième réseau du classement, Iliad Italia, autre filiale du groupe. Ces chiffres témoignent de la place importante occupée par les équipements de Free dans ce recensement. Ils doivent néanmoins être interprétés avec prudence : un service visible depuis Internet n’est pas nécessairement une faille exploitable.
L’alerte intervient alors que deux vulnérabilités critiques affectant PHP doivent faire l’objet d’un correctif d’urgence. Ce langage est notamment utilisé pour faire fonctionner des interfaces web et des services en ligne. Dans le cas des Freebox, la question est de savoir quelle version de PHP est intégrée à Freebox OS, si cette version est concernée par les failles et si les services accessibles depuis Internet permettent réellement de les exploiter.
À ce stade, les données d’Infrawatch ne permettent pas de répondre à ces questions. Le recensement montre que des services utilisant PHP sont accessibles, mais ne démontre pas que les Freebox concernées sont directement attaquables. Si une vulnérabilité exploitable était confirmée, les conséquences pourraient toutefois être importantes. Une box Internet ne se limite pas à fournir un accès au réseau : elle gère également le WiFi, les appareils connectés et, sur certains modèles, des fichiers stockés localement. Une prise de contrôle pourrait donc présenter des risques dépassant ceux d’un simple site web compromis.
Sollicité sur le sujet, Free n’avait pas encore communiqué mercredi matin, selon les informations rapportées par Frandroid. Si une mise à jour de sécurité est nécessaire, elle devra être déployée par l’opérateur sur les Freebox concernées. En attendant des précisions, les abonnés qui ont activé l’accès à distance à leur interface Freebox OS peuvent vérifier leurs réglages. Si cette fonctionnalité ne leur est pas utile, ils peuvent la désactiver par précaution. Pour cela, il faut accéder aux paramètres de la Freebox, passer en « Mode avancé », puis ouvrir la rubrique « Gestion des accès » afin de vérifier les autorisations liées à l’accès distant. Cette précaution ne constitue pas une réponse définitive aux vulnérabilités évoquées : elle vise simplement à réduire les possibilités d’accès extérieur à l’interface d’administration. Le point déterminant reste désormais la publication des détails techniques sur les deux failles et la confirmation de leur éventuel impact sur Freebox OS. Si un correctif est nécessaire, sa disponibilité et son déploiement effectif seront essentiels pour protéger les équipements concernés.
Le Tribunal judiciaire de Paris a rendu une décision inédite autorisant beIN Sports à bloquer…
Après les pillages de plusieurs magasins en France le 17 octobre, les enseignes doivent inventorier…
Près de deux mois après la grande réorganisation des chaînes sur les Freebox, les éditeurs…
Orange, SFR, Bouygues Telecom et Free n’ont pas été épargnés par les pillages du 17…
Free Mobile a confirmé que son forfait historique à 19,99€/mois continuerait à évoluer, sans dévoiler…
En marge de l'extinction de son réseau 2G dans les 43 derniers départements concernés, l'opérateur…