Pour gérer vos consentements :

Une faille dans OpenSSH âgée de 12 ans fragilise l’IoT

L’Internet des objets est en pleine croissance et la sécurité est au cœur des préoccupations des responsables informatiques. Qui plus est, ces objets connectés sont utilisés par des cybercriminels pour mener des attaques en déni de service. OVH et le spécialiste de la sécurité Brian Krebs en ont fait l’expérience ces dernières semaines.

On apprend maintenant que ces attaques ont été rendues possibles en raison d’une faille présente depuis 12 ans dans OpenSSH. Deux chercheurs d’Akamai, Ory Segal et Ezra Caltum ont découvert cette vulnérabilité et l’ont baptisé SSHowDowN Proxy. Elle vise notamment à enrôler plusieurs objets connectés comme les caméras de surveillance (CCTV) et leurs enregistreurs numériques (DVR), les antennes satellites, les routeurs, les NAS. « Ces dispositifs sont maillés pour attaquer une multitude de sites ou de services Internet à travers http, SMTP ou via un scan réseau », constate les experts. Ils ajoutent que les attaques peuvent aussi cibler les réseaux qui hébergent les objets connectés.

L’ère de l’IoT non-corrigeable a commencé

Pour Ory Segal, directeur de recherche chez Akamai, « nous entrons dans une période très dense en matière de DDoS et d’autres offensives web que l’on qualifie  « The Internet of Unpatchable Things », l’Internet des objets incorrigeables ». Pour lui, le problème réside dès la production de l’objet. « Ils sont expédiés de l’usine avec cette faille et pire encore il n’y a aucun moyen efficace pour la réparer. Pendant des années, nous avons estimé que cet état de fait était simplement théorique, c’est devenu une réalité. »

Afin d’atténuer les menaces, Akamai conseille de modifier les paramètres par défaut des objets dès leur réception. Les deux spécialistes donnent une procédure sur les modifications à apporter.

A lire aussi :

FPGA : l’arme secrète d’OVH pour parer les attaques DDoS

DDoS : le code du botnet IoT Mirai mis en libre-service

© Sergej Khackimullin – Fotolia.com

Recent Posts

Après la NAND, Intel dit stop à la gamme Optane

Après avoir vendu son activité NAND, Intel tire un trait sur la technologie 3D XPoint,…

3 semaines ago

Google Analytics : la Cnil a posé les règles du jeu

Près de six mois ont passé depuis de que la Cnil a déclaré l'usage de…

3 semaines ago

Truffle 100 France : le top 20 des éditeurs de logiciels

Truffle 100 France : qui sont les 21 entreprises qui ont dépassé, en 2021, les…

3 semaines ago

Cloud : AWS brocarde les politiques de licences Microsoft

Un dirigeant d'Amazon Web Services dénonce des "changements cosmétiques" apportés par Microsoft à ses politiques…

3 semaines ago

Sécurité du code au cloud : Snyk Cloud, un joker pour développeurs

Snyk officialise le lancement de sa solution de sécurité cloud pour développeurs, Snyk Cloud, fruit…

3 semaines ago

Cegid accroche Grupo Primavera à son tableau d’acquisitions

Cegid va absorber Grupo Primavera, plate-forme de logiciels de gestion d'entreprise née dans la péninsule…

3 semaines ago