Des portes dérobées « intentionnellement placées » ont été découvertes sur des équipements réseau du chinois C-DATA

Qui accordent un accès à un compte administrateur Telnet secret

Un Optical Network Termination (ONT) (« terminaison de réseau optique » en français), est un équipement de réseau optique employé pour le raccordement à Internet par fibre optique jusqu’au domicile (FTTH, Fiber To The Home) ; il incorpore la fonction d’accès aux terminaux de l’utilisateur et parfois la prise terminale optique (PTO) délimitant le réseau FTTH de l'opérateur. L'Optical Line Termination (OLT), appelé aussi Optical Line Terminal, est l'équipement de terminaison, côté réseau, assurant l’interface avec les fibres dans les réseaux FTTH en fibres optiques ; il est connecté à un ou plusieurs réseaux de distribution optique passifs (ODN).

Ces appareils sont situés sur tout le réseau d'un FAI et, en raison de leur rôle crucial, ils sont également l'un des types d'appareils de réseau les plus répandus d'aujourd'hui, car ils doivent être installés dans des millions de points de terminaison de réseau partout dans le monde.

Une gamme de dispositifs d'Optical Line Terminal fabriqués par l'équipementier chinois C-DATA comporte plusieurs vulnérabilités ainsi que des portes dérobées. Ces appareils sont couramment utilisés par les Télécoms et les fournisseurs de services Internet pour fournir Internet à leurs clients.

Les chercheurs en sécurité Pierre Kim et Alexandre Torres ont publié des détails sur les vulnérabilités, sept au total, qui allaient d'un algorithme de chiffrement faible à des interfaces de gestion non sécurisées en passant par des fuites d'informations d'identification. Mais de loin la pire était l'existence prétendument « intentionnellement placée » (par le vendeur) d'un accès par porte dérobée avec telnet. En ce qui concerne la sécurité, vous ne pouvez vraiment pas faire pire que cela dans un tel matériel clé. « Nous procédons à une divulgation complète, car nous pensons que certaines portes dérobées sont intentionnellement placées par le vendeur », ont-ils indiqué pour expliquer pourquoi ils ont décidé de publier leurs conclusions sans passer par la case « alerte vendeur ».

Les chercheurs ont utilisé deux appareils OLT, les FD1104B et FD110SN et les versions de micrologiciel à jour pertinentes ((V1.2.2 et 2.4.05_000, 2.4.04_001 et 2.4.03_000 respectivement) pour effectuer leurs tests. Mais ils pensent que les mêmes vulnérabilités affectent 27 autres modèles FTTH OLT, car ils exécutent un firmware similaire.

Les sept vulnérabilités

Les vulnérabilités sont graves, mais la plus inquiétante des sept est la présence de comptes de porte dérobée Telnet codés en dur dans le firmware. Ces comptes permettent aux attaquants de se connecter à l'appareil via un serveur Telnet exécuté sur l'interface WAN (côté Internet) de l'appareil. Kim et Torres ont déclaré que les comptes accordaient aux intrus un accès CLI complet à l'administrateur.

Les deux chercheurs ont déclaré avoir trouvé quatre combinaisons nom d'utilisateur-mot de passe cachées dans le firmware C-Data, avec des comptes de porte dérobée différents selon l'appareil, en fonction du modèle d'appareil et de la version du firmware.

Cet accès CLI de porte dérobée initial pourrait alors être utilisé pour exploiter d'autres vulnérabilités. Par exemple, Kim et Torres ont déclaré qu'un attaquant pourrait également exploiter un deuxième bogue pour répertorier les informations d'identification en texte clair dans le CLI Telnet de tous les autres administrateurs de périphériques; les informations d'identification qui pourraient être utilisées ultérieurement dans le cas où le compte de porte dérobée est supprimé.


Une troisième vulnérabilité permet à un attaquent d'exécuter des commandes shell avec les privilèges root à partir de n'importe quel compte CLI.

La quatrième vulnérabilité a été découverte sur le même serveur Telnet exécuté sur l'interface WAN. Kim et Torres ont déclaré que ce serveur pouvait être utilisé abusivement pour faire planter le dispositif FTTH OLT. Étant donné que le serveur s'exécutait par défaut sur l'interface WAN, ce bogue pourrait être utilisé pour saboter le réseau d'un FAI s'il ne filtre pas le trafic vers les périphériques FTTH OLT.

Les appareils exécutaient également un serveur Web inclus pour alimenter le panneau Web de gestion de l'appareil. Ici, Kim et Torres ont trouvé le cinquième bogue. En téléchargeant simplement six fichiers texte à partir de ce serveur Web, un attaquant pourrait mettre la main sur les informations d'identification de compte en texte clair pour l'interface Web, le serveur Telnet et l'interface SNMP de l'appareil.

Dans le cas où l'un des mots de passe est trouvé dans un format chiffré, Kim et Torres disent que ce n'est pas un problème non plus, car les informations d'identification sont généralement sécurisées avec une fonction XOR facile à casser.

Enfin et surtout, les deux chercheurs ont souligné que toutes les interfaces de gestion sur les appareils testés fonctionnaient en mode texte clair, avec HTTP plutôt que HTTPS, Telnet au lieu de SSH, etc. Ils ont dit que cela exposait les appareils et les FAI qui les utilisaient à des attaques MitM (homme du milieu).

Les deux chercheurs notent également que l'identification de tous les appareils vulnérables sera également un problème pour les FAI, car certains des équipements vulnérables semblent également avoir été vendus en tant que produit en marque blanche, sous différentes marques, telles que OptiLink, V-SOL CN, BLIY , et peut-être d'autres. Une marque blanche est un service ou un produit conçu par une entreprise (le producteur), que d'autres entreprises (les « distributeurs ») reprennent à leur compte et commercialisent sous leur propre marque.

Vous trouverez ci-dessous la liste des modèles OLT FTTH C-Data vulnérables:

1. 72408A
2. 9008A
3. 9016A
4. 92408A
5. 92416A
6. 9288
7. 97016
8. 97024P
9. 97028P
10. 97042P
11. 97084P
12. 97168P
13. FD1002S
14. FD1104
15. FD1104B
16. FD1104S
17. FD1104SN
18. FD1108S
19. FD1108SN
20. FD1204S-R2
21. FD1204SN
22. FD1204SN-R2
23. FD1208S-R2
24. FD1216S-R1
25. FD1608GS
26. FD1608SN
27. FD1616GS
28. FD1616SN
29. FD8000

Source : conclusion des chercheurs

Et vous ?

Qu'en pensez-vous ?