Faille de sécurité dans des Livebox, Orange France n’est pas touché

Ce week-end, Bad Packets, un blog consacré aux questions de sécurité sur le net a publié un article concernant une faille dans des Livebox d’Orange mais la France ne serait pas touchée par cette faille.

Cette dernière permet de se connecter à la Livebox sans s’authentifier et d’obtenir ainsi le SSID (le nom du réseau WiFi de la Livebox) et le mot de passe de la connexion WiFi. Sur les 30 000 IP impliquées, 19 490 ont cette faille qui permet de récupérer les identifiants du WiFi, 2 000 sont exposées mais aucune fuite n’a été repérée et 8 391 ne répondaient pas aux scans du site.

Plusieurs des Livebox impliquées utilisent le couple admin/admin pour se connecter à l’interface d’administration. Cela permet de se connecter à distance, de modifier les paramètres de la box et d’obtenir le numéro de téléphone par exemple.

Quasiment toutes les Livebox impliquées sont en Espagne, quelques une au Maroc et aucune dans les autres pays où Orange est présent.

En France, une telle faille avait été trouvée il y a plus de 6 ans et permettait de se connecter à distance à d’anciennes Livebox Inventel. De plus, depuis quelques années maintenant Orange France a remplacé le couple admin/admin pour accéder à l’administration de la box par un mot de passe contenant les 8 premiers caractères de la clé WiFi pour la première connexion et qu’Orange vous demande de modifier de suite donc une faille de ce type serait plus difficile à exploiter.