Des routeurs D-Link à la merci des pirates

Les routeurs de D-Link seraient-ils maudits ? Selon le site SourceSec, trois modèles (DI-524 C1, DIR-628 B2 et DIR-655 A1) commercialisés depuis 2006 sont affectés par une faille de sécurité. Cette vulnérabilité toucherait le protocole HNAP (Home Network Administration Protocol) qui permet d'améliorer l'authentification des utilisateurs avec un code Capcha. Des attaquants locaux et externes pourraient exploiter la faille afin d'accéder aux paramètres réseau du routeur.

Thierry Doualan, responsable produits à D-LINK, se veut rassurant pour les Européens (1) : « Les trois appareils n'ont jamais été commercialisés sur le Vieux Continent. Concernant la partie hardware (version A4) du routeur DIR-655 qui était vendue en Europe [à travers d'autres produits, NDLR], nous avions sorti à l'été 2009 un firmware corrigeant le problème potentiel. » Certes, mais cette affaire souligne une fois encore la vulnérabilité de ces familles de produits. Pour l'instant, D-Link n'annonce pas de correctifs pour les marchés nord-américain et asiatique.

D'autres vulnérabilités

Ce n'est pas la première fois que le système Capcha des routeurs D-Link est mis en cause. Instaurée à la mi-mai 2009, à la suite de la publication sur Internet des mots de passe « usine » du constructeur, cette protection n'a tenu que quelques jours. Le site américain Hackaday.com avait trouvé une faille sur le DIR-628 qui permettait de trouver la clé WPA (Wi-Fi Protected Access).

Plus grave, une autre faille de sécurité avait touché sept produits (dont le DI-524, qui est encore concerné aujourd'hui) au mois de février 2006. Cette fois, la vulnérabilité concernait la gestion UPnP (Universal Plug and Play), un ensemble de protocoles permettant à des systèmes et à des équipements d'être mis en réseau et de collaborer, sans configuration préalable. Cette faiblesse permettait de prendre le contrôle de tout le trafic réseau.

(1) Selon D-Link, les routeurs DI-524 et DIR-655 sont commercialisés en Europe, mais pas dans leurs versions C1 et A1, victimes de ces nouvelles failles.