Backdoor D-Link : pas de mise à jour prévue du firmware affecté

Contrairement à ce que nous avions écrit, D-Link n’effectuera pas de mise à jour spécifique pour combler la vulnérabilité de ses routeurs affectés d’une backdoor. Rappelons que le chercheur Craig Heffner a révélé l’existence d’une backdoor qui permet potentiellement de prendre le contrôle des routeurs affectés sans nécessiter d’identifiants de connexion.

Des routeurs vieux de 10 ans

Si les faits sont avérés, « la backdoor touche des produits qui ont près de 10 ans et certains ne sont plus commercialisés depuis 3 ans », justifie Thierry Doualan, chef produit chez D-Link France. Autrement dit, des routeurs qui, s’ils sont encore en circulation dans les entreprises ou chez les particuliers, seront difficiles à détecter dans la masse.

Huit modèles sont concernés dont la moitié n’ont jamais été vendus en Europe : les DIR-100 (seul modèle toujours commercialisé), DIR-120 (obsolète depuis 3 ans), DI-524, DI-524UP ainsi que DI-524s, DI-604UP, DI-604+ et TM-G55240, ces derniers modèles n’ayant jamais été commercialisés en Europe.

Risques encourus

N’en reste-t-il pas moins des risques pour les modèles encore en activité ? Thierry Doualan ne le pense pas. D’abord parce que, « comme l’indique le chercheur, la backdoor n’est pas évidente à trouver ». Ensuite, et surtout, parce que « le dernier firmware en date n’a plus de backdoor », assure notre interlocuteur.

Autrement dit, les clients qui ont régulièrement effectué les mises à jour des routeurs référencés n’ont pas à s’inquiéter des risques d’attaque par intrusion d’une porte dérobée qui a de fait disparu. Ceux qui n’auraient pas effectué la mise à jour auront évidemment tout intérêt à le faire même si le risque d’attaque reste faible.

Pourquoi cette backdoor

Alors pourquoi avoir introduit cette backdoor ? « A l’époque, c’était assez commun à l’industrie, commente Thierry Doualan, cela servait de procédure de récupération de l’appareil pour le SAV en cas de panne. » Une époque où, face aux coûts des matériels, la récupération du routeur était rentable. Ce n’est plus nécessairement le cas aujourd’hui. D’autant que la procédure de récupération s’effectue aujourd’hui par le simple bouton « reset » à portée de tout utilisateur.

Si une mise à jour spécifique du firmware concerné est donc de fait aujourd’hui inutile, D-Link n’en continue pas moins de renforcer régulièrement la sécurité de ses produits. Le constructeur vient d’étoffer sa page de support où il invite les utilisateurs à vérifier l’état de leur routeur. Dans la foulée, D-Link annonce qu’il diffusera, le 31 octobre, des mises à jour de ses produits dont les versions DIR-100 et 120, et DI-524 et DI-524UP. « Des mises à jour prévues de longue date indépendamment de l’affaire de la backdoor », assure Thierry Doualan. De quoi rassurer définitivement les clients ?

crédit photo © 3d brained – Fotolia.com

Précédemment :
Des routeurs D-Link victimes d’une backdoor
D-Link s’apprête à fermer la backdoor de ses routeurs