Advertisement
Categories : Brèves

Retour sur une faille jugée critique sur le Server de la Freebox Révolution

Advertisement

L’information avait tardé à sortir officiellement. Souvenez-vous Free lançait successivement deux firmware (mises à jour), l’un pour le Freebox Player, l’autre pour le Freebox Server, estampillé 3.0.3. Ce dernier avait été ensuite retiré, puis à nouveau lancé discrètement sans en donner les détails des nouveautés/ corrections liées à cette mise à jour.

La raison était finalement parue, les développeurs de la Freebox expliquant que « la mise à jour disponible corrigeait un problème de sécurité sur l’interface Freebox OS (…) Notez qu’un hotfix a été déployé sur les Freebox afin de corriger ce problème sans que faire la mise à jour ne soit nécessaire ».

Aujourd’hui on est sait un peu plus sur ce fameux problème de sécurité grâce à ce log accessible sur Milw00rm.com, et relayé par @FreeboxV6 sur Twitter.

« Free permet à ses utilisateurs de créer des connexions VPN à la maison. Dans la version 3.0.2 quand un nouvel utilisateur est créé, la demande suivante de JSON est envoyée à http://mafreebox.free.fr/api/v3/vpn/user/. Cette demande est vulnérable (CSRF) » explique Milw00rm.com. Concrètement, la faille, jugée critique, permettait à un attaquant de créer un compteur utilisateur VPN (réseau privé virtuel) sur les Freebox Révolution et d’accéder au réseau local. On comprend mieux pourquoi les développeurs Freebox ont rapidement corrigé la faille et remercié « Dau Huy Ngoc pour sa démarche responsable ». Le potentiel de cette faille était immense.

Par ailleurs, deux failles XSS avec une faible probabilité d’exploitation avaient également été découvertes par Dau Huy Ngoc (dans Contacts et RSS). Pour exploiter ces failles XSS, l’attaquant devait inciter un Freenaute à importer son fichier .vcf malveillant (VCard) ou dans la seconde faille, contrôler l’un des flux RSS de l’abonné.

Cet article a été repris sur le site Univers FreeBox

Advertisement
fouzi

Advertisement

Articles récents

TTFB : c’est les montagnes russes pour les abonnés Free, de l’IA dans le futur Player Freebox ?, etc

Nouveau numéro d votre magazine hebdomadaire “Totalement Fibrés” , en direct tous les vendredi à…

22 novembre 2024

Abonnés Freebox et Prime : récupérez 6 nouveaux jeux PC gratuitement, dont deux titres très populaires

Jouez entre amis ou affrontez des aventures aux défis redoutables avec la sélection Prime Gaming…

22 novembre 2024

Orange lance une nouvelle salve de promos pour ses abonnés Livebox

Orange lance sa Black Week pour ses abonnés Livebox, de nombreux contenus en VOD sont…

22 novembre 2024

Free Mobile ajoute un nouveau téléphone 4G à moins de 60€ à sa boutique

L'opérateur continue d'enrichir son offre de feature phone à petit prix avec un mobile proposé…

22 novembre 2024

Orange distribue enfin les offres les moins chères de DAZN sur ses Livebox

Les abonnés Orange peuvent enfin souscrire à l'ensemble des offres Unlimited ou Unlimited+ de DAZN…

22 novembre 2024

Les réseaux de Free et d’autres opérateurs impactés par la tempête Caetano, de nombreux équipements injoignables

Face aux intempéries, les réseaux de plusieurs opérateurs dont Free sont touchés par des pannes…

22 novembre 2024
Advertisement