IoT là là : quator de failles sévères pour un trio de SDK WiFi chez Realtek !

Pas de répit pour les objets connectés, alors que Realtek déboule avec 4 vulnérabilités « propriétaires » découvertes dans 3 de ses Software Developement Kits accompagnant ses modules WiFi ! Ce n'est pas du niveau de l'ampleur des collections Kr00k et FragAttacks, mais cela concerne tout de même un nombre d'appareils estimé aux alentours d'un million (en supposant une moyenne de 5000 exemplaires vendus de chaque matériel), les modules du fabricant étant des solutions plébiscitées par au moins 65 vendeurs dans le monde entier — parmi lesquels ASUS, Belkin, D-Link, Huawei, LG, Logitech, Netgear, TCL, Realtek, Zyxel, etc. — pour près de 200 appareils équipés d'une connexion sans fil — tels que des répétiteurs WiFi, des caméras IP, des jouets connectés, des routeurs, des accessoires domotiques et pleins d'autres trucs ! Bref, vous l'aurez compris, ça concerne assez clairement beaucoup de monde et de hardware IoT plus ou moins banal de notre quotidien.

Plus spécifiquement, les failles en question touchent Realtek SDK v2.x, Realtek « Jungle » SDK v3.0/ 3.1/ 3.2/ 3.4/ 3.4T/ 3.4T-CT, Realtek « Luna » SDK jusqu'à la version 1.3.2. et peuvent être exploitées pour compromettre intégralement un appareil pour lui faire faire des choses contre son gré, grâce à l'exécution d'un code arbitraire avec le plus haut niveau de privilège. Des patchs ont été distribués pour le SDK « Luna » avec une version 1.3.2a, mais les utilisateurs du SDK « Jungle » devront rétroporter eux-mêmes les correctifs fournis par Realtek.

 Ce n'est pas Realtek qui a découvert leur existence, mais il en a été informé par IoT Inspector en mai dernier, un spécialiste allemand en cybersécurité, et ce dernier a même affirmé que ces failles ont été présentes dans la base de code de Realtek pendant plus d'une décennie, sans qu'elles n'aient été modifiées ou corrigées à un moment ou un autre, ni par Realtek lui-même ni l'un des fabricants ayant implémentés ses solutions. Ce n’est pas très glorieux, mais c'est un fait qui n'est pas tellement rare dans le milieu. Au moins, le travail (certes souvent ingrat) ne manquera probablement jamais pour les entreprises spécialisées en cybersécurité, et c'est tant mieux pour elles, mais un peu moins cool pour les utilisateurs finaux qui peuvent ainsi se retrouver exposés sans le savoir parfois pendant de longues années... (Source)