// FRANDROID — MOBILE & WEB
Livebox Orange, box SFR : une faille permet de pirater votre Wi-Fi sans mot de passe
Si vous êtes chez Orange avec une Livebox 5 ou chez SFR avec une Box Plus, surveillez les annonces de votre opérateur ces prochaines semaines : c’est lui qui pousse les mises à jour de votre box internet. Le 16 octobre, à Hexacon, une conférence de sécurité informatique organisée à Paris, le chercheur belge Quentin Kaiser a présenté une faille dans le Wi-Fi de nombreuses box internet.
Il la détaille dans un long billet publié sur son site le même jour. Un pirate qui se trouve à portée du réseau peut faire exécuter ses propres commandes par la box sans connaître la clé Wi-Fi. D’après le repérage de réseaux que le chercheur a mené à Paris, ces deux modèles français (Livebox 5 et Box Plus) apparaissaient comme non corrigés au moment du relevé.
À lire aussi :
Box internet Orange : quel forfait Orange Livebox choisir en 2026 ?
Le problème vient de Broadcom, un fabricant américain de puces. En plus des puces Wi-Fi, il fournit aux fabricants de box un kit logiciel (SDK) pour les faire fonctionner. Selon Quentin Kaiser, le code fautif se trouve dans ce kit depuis au moins 2010. Broadcom a discrètement publié une correction incomplète en 2018. Ensuite, il a conseillé aux fabricants de passer à hostapd, un autre logiciel qui gère les fonctions de point d’accès Wi-Fi. Le changement demande un gros travail d’adaptation, en particulier sur les vieilles box, et beaucoup de fabricants ne l’ont pas fait.
Surtout, Broadcom a refusé d’attribuer un numéro CVE à la faille. Ce numéro sert à suivre une vulnérabilité d’un fabricant à l’autre. Pour le chercheur, ce refus explique sans doute pourquoi tant de fabricants n’ont rien corrigé. Il parle de dizaines de marques, de centaines de produits et de millions de points d’accès Wi-Fi touchés dans le monde.
La faille passe par le WPS (Wi-Fi Protected Setup). Cette fonction permet de connecter un appareil en appuyant sur un bouton de la box, sans recopier la clé Wi-Fi. Pour y arriver, la box échange quelques messages avec l’appareil avant que la connexion soit vraiment établie, et ces messages arrivent parfois en plusieurs morceaux.
Le logiciel de Broadcom recolle mal ces morceaux. Il ne contrôle pas assez leur longueur, si bien qu’un message piégé déborde de la zone de mémoire prévue pour lui. Quentin Kaiser se sert de ce débordement pour lire des données dans la mémoire de la box. Il parvient ensuite à lui faire exécuter ses propres instructions.
Pour trouver ce bug, Quentin Kaiser s’est fait aider par des agents d’IA. Il écrit qu’avec les modèles d’IA les plus avancés, il lui a fallu moins d’une semaine, là où il aurait mis des mois seuls. Pour lui, un vieux code ne peut plus compter sur sa complexité pour rester à l’abri.
C’est une faille à prendre au sérieux : même un mot de passe à rallonge et bien complexe ne protège de rien ici. L’attaquant doit simplement être à portée du Wi-Fi visé. Il n’a besoin ni de la clé du réseau ni d’aller au bout d’un appairage WPS normal. Dans ses vidéos, l’antenne est posée tout près de la box, mais le chercheur précise que l’attaque fonctionne aussi à longue distance.
Ses démonstrations ont été faites en Belgique, sur des box de Proximus, de VOO et d’Orange Belgium. Sur l’Askey TCG3000 d’Orange Belgium, il récupère la clé Wi-Fi enregistrée dans la box, puis il se connecte au réseau comme n’importe quel membre du foyer. Il estime le nombre de box concernées à environ 850 000 chez Proximus, 500 000 chez VOO et 210 000 chez Orange Belgium. Lui-même dit n’être que moyennement sûr de ces chiffres. Selon lui, aucun de ces appareils n’était corrigé au 15 octobre.