Un nouveau vecteur d’attaque pour exploiter la faille Heartbleed ? Un chercheur en sécurité portugais vient de pointer du doigt un nouveau vecteur d’attaque exploitant la faille Heartbleed. Baptisé “Cupidon”, ce mode d’attaque serait particulièrement adapté aux routeurs Wi-Fi et aux appareils Android.
Luis Grangeia, un chercheur en sécurité portugais travaillant pour SysValue, a mis en ligne un document présentant ‘Cupidon’, qu’il décrit comme un nouveau vecteur d’attaque permettant d’exploiter la faille Heartbleed.
Alors que les mises à jour viennent en ordre dispersé chez les éditeurs et fabricants de matériels, Cupidon permettrait d’exploiter le même type de faille via le Wi-Fi pour cibler le routeur d’une entreprise ou d’extraire directement des données depuis un appareil Android connecté à un routeur compromis.
Baptisée Cupidon, cette technique d’assaut a été mise en place dans un environnement Wi-Fi fermé. Elle est basée sur le fait que les réseaux sans fil d’entreprise utilisent des tunnels TLS pour sécuriser une partie des processus d’authentification (EAP). Luis Grangeia a en l’occurrence créé un patch pour le logiciel de sécurisation du Wi-Fi (WPA supplicant) et le logiciel de création de point d’accès Wi-Fi (Hostpad). Cupidon permet de capturer les informations transitant entre le routeur et le terminal. Luis Grangeia précise que Cupidon permet d’attaquer n’importe quel point de connexion au réseau, qu’il s’agisse du côté client ou du côté serveur. La procédure est la même que pour l’exploitation d’Heartbleed : une requête corrompue visant à faire fuiter la mémoire depuis le serveur pour récupérer plus de données que nécessaire pour répondre à la requête.
Les appareils sous Android 4.1 « Jelly Bean » sont particulièrement vulnérables, mais la faille pourrait aussi – avec un point d’interrogation – concerner iOS et OS X d’Apple. Les solutions Wi-Fi de Cisco/Merkai, Aruba, Trapeze et consorts sont également pointées du doigt, au même titre que les téléphones sur IP et les imprimantes.
Merci pour cet article et l’information, mais heureusement qu j’ai l’application Lastpass pour protéger mes mots de passe et m’avertir si un de mes mots de passe est touché par Heartbleed, j’espère que ça fera l’affaire. J’ai pris connaissance aussi que android 4.4.4 est déjà immunisée contre cette fameuse faille.
Eddy
Les commentaires sont fermés.