Les entreprises technologiques ont commencé à réagir à un nouvel exploit Wi-Fi qui affecte tous les réseaux Wi-Fi modernes utilisant WPA ou WPA 2, le mécanisme pour sécuriser les réseaux sans fil de type Wi-Fi. La United States Computer Emergency Readiness Team a publié cette alerte en réponse à la découverte de cet exploit : « US-CERT a pris conscience de l’existence de plusieurs vulnérabilités de gestion de clefs dans le 4-Way Handshake du protocole de sécurité Wi-Fi Protected Access II (WPA2). L’impact de l’exploitation de ces vulnérabilités inclut le déchiffrement, l’attaque par rejeu, le détournement d’une connexion TCP, l’injection de contenu HTTP, et bien d’autres. Du fait qu’il s’agit de problèmes au niveau du protocole, la plupart ou toutes les implémentations correctes du standard seront affectées. Le CERT/CC et le chercheur (qui a rapporté la vulnérabilité) KU Leuven, vont rendre publiques ces vulnérabilités le 16 octobre 2017. »
Les chercheurs en sécurité déclarent que les périphériques exécutant macOS, Windows, iOS, Android et Linux sont affectés par les vulnérabilités.
Aussi, les éditeurs de logiciels ont vite fait de communiquer. Microsoft a indiqué qu'il a déjà résolu le problème pour les clients exécutant les versions prises en charge de Windows. « Nous avons publié une mise à jour de sécurité pour résoudre ce problème », a déclaré un porte-parole de Microsoft. Le bulletin de sécurité a été diffusé hier. « Les clients qui appliquent la mise à jour ou qui ont activé les mises à jour automatiques seront protégés. Microsoft continue à encourager les clients à activer les mises à jour automatiques pour s'assurer qu'ils sont protégés. »
Google, pour sa part, a promis un correctif pour les appareils concernés « dans les semaines à venir ». Les appareils Pixel de Google seront les premiers à recevoir des correctifs avec une mise à jour de sécurité prévue pour le 6 novembre 2017, mais la plupart des autres dispositifs tournant sur Android devront probablement attendre plus longtemps. Selon les chercheurs, 41 % des appareils Android sont vulnérables à une variante « exceptionnellement dévastatrice » de l'attaque Wi-Fi qui implique la manipulation du trafic, et il faudra du temps pour colmater la faille sur les anciens appareils.
La Wi-Fi Alliance, un réseau d'entreprises responsables du Wi-Fi, a fait un commentaire suite à la divulgation des vulnérabilités :
« Des recherches publiées récemment ont identifié des vulnérabilités dans certains périphériques Wi-Fi où ces périphériques réinstallent des clefs de cryptage réseau dans certaines conditions, désactivant ainsi la protection contre la rediffusion et réduisant considérablement la sécurité du chiffrement. Ce problème peut être résolu grâce à des mises à jour logicielles simples et l'industrie Wi-Fi, y compris les principaux fournisseurs de plateformes, a déjà commencé à déployer des correctifs sur les utilisateurs Wi-Fi. Les utilisateurs peuvent s'attendre à ce que tous leurs périphériques Wi-Fi, qu'ils soient patchés ou non, continuent à bien fonctionner ensemble.
« Il n'y a aucune preuve que la vulnérabilité a été exploitée de manière malveillante et Wi-Fi Alliance a pris des mesures immédiates pour s'assurer que les utilisateurs peuvent continuer à compter sur le Wi-Fi pour offrir de solides protections de sécurité. Wi-Fi Alliance doit maintenant tester cette vulnérabilité au sein de notre réseau mondial de laboratoires de certification et a fourni un outil de détection des vulnérabilités à l'usage de tout membre de Wi-Fi Alliance. Wi-Fi Alliance communique également largement les détails de cette vulnérabilité et des correctifs aux fournisseurs de périphériques et les encourage à travailler avec leurs fournisseurs de solutions pour intégrer rapidement les correctifs nécessaires. Comme toujours, les utilisateurs Wi-Fi doivent s'assurer qu'ils ont installé les dernières mises à jour recommandées par les fabricants d'appareils. »
Apple a également confirmé que la vulnérabilité est corrigée dans une version bêta des systèmes d'exploitation actuels. Le correctif devrait être rendu public dans quelques semaines. Il faudra donc encore un peu de patience pour les appareils tournant sur iOS et macOS.
Source : bulletin de sécurité Microsoft, Wi-Fi Alliance, AppleInsider
Envoyé par mattdef
