Une faille de sécurité détectée sur les microcontrôleurs ESP32

L’ESP32 d’Espressif a été une petite révolution dans le monde des microcontrôleurs, lancé officiellement en 2016, il a généré une véritable vague de produits l’exploitant. Avec le développement de la domotique et de l’IoT, ce composant facile d’accès est hyper abordable a fait son chemin dans énormément d’appareils. Aujourd’hui, il apparait que son code pourrait embarquer des éléments non documentés.

Une solution de développement ESP32

La société de recherche en sécurité informatique Tarlogic Security a présenté lors d’une conférence spécialisée à Madrid cet ensemble d’éléments et tire la sonnette d’alarme sur les possibles implications de celui-ci.

L’ESP32 est une puce que vous utilisez peut-être sans le savoir. Si vous êtes un électronicien, vous connaissez déjà ce type de microcontrôleur. Semblables dans l’esprit aux solutions Arduino, ils permettent des montages programmables très abordables. Si vous avez un peu de domotique chez vous, il est fort probable que vous ayez un ESP32 à bord. Ces puces permettent d’actionner des appareils tiers en suivant des routines programmables simples et proposent également une connectivité Wi-Fi et Bluetooth. Vous êtes un industriel et vous voulez créer un interrupteur connecté ? Il suffit de glisser dans un petit boitier une puce ESP32 et un relai pour pouvoir le faire. 

Cette popularité immense, le fait que des puces Espressif se vendent par dizaines millions chaque mois, pose un petit souci de sécurité aujourd’hui. De larges interrogations portent sur la découverte de ces chercheurs en sécurité. Leur analyse montre que ces puces embarquent des éléments très problématiques. Ils permettraient d’abord de verrouiller un dialogue stable sur les appareils équipés. Une seconde étape pourrait être l’usurpation d’identité d’autres appareils sur le même réseau, et même d’appareils de confiance. Enfin, ces éléments non documentés permettraient non seulement de récupérer des données sensibles, mais aussi de propager des failles sur un réseau interne.

Tarlogic présentant sa découverte pendant la conférence RootedCON

Un ESP32 intégré dans un objet connecté anodin pourrait donc servir de cheval de Troie pour compromettre d’autres appareils sur le même réseau. Un ordinateur, un smartphone, une tablette, un autre appareil domotique connecté, voir un routeur.

C’est un ensemble de 29 commandes non documentées par Espressif qui sont présentes dans le firmware pilotant le Bluetooth des ESP32. En offrant un accès à la manipulation de la mémoire embarquée, la possibilité de modifier la mémoire flash, le changement d’adresse MAC de l’appareil et en offrant les ressources nécessaires pour injecter du code. Ces commandes offrent un arsenal d’outils important à une personne tierce qui aurait des intentions malveillantes. Ces éléments non documentés officiellement n’ont été visibles que grâce à des outils de sécurité analysant le flux Bluetooth des puces. Autrement dit, sans un logiciel créé sur mesures à cette fin, les commandes restent parfaitement invisibles à un développeur traditionnel.

La société Tarlogic met en avant plusieurs problèmes majeurs dont la possibilité de glisser une menace dans un ESP32 afin de pouvoir mener à bien des attaques contre des dispositifs sans fil sur le même réseau, en Bluetooth comme en Wi-Fi. Un premier appareil infecté pourrait à son tour attaquer d’autres appareils ESP32 et leur injecter à leur tour ce type de code, créant ainsi un maillage capable ensuite d’attaquer d’autres outils.

Beaucoup de questions en suspens autour des ESP32

La première question est bien sûr liée au scénario de cette intégration de commandes. Est-elle due à une volonté de proposer un outil de compromission à un maximum d’appareils tiers dans le monde ? Ce qui serait un scénario un peu conspirationniste, mais tout à fait crédible. La seconde serait un « oubli » de la part des développeurs de retirer ces commandes qui peuvent être utiles lors d’une phase de développement. Un scénario beaucoup plus pacifiste.

Dans le développement conspirationniste, on peut imaginer une demande du gouvernement chinois de laisser cette porte d’entrée à des milliards d’appareils connectés pour des usages litigieux ; une manière de pouvoir entrer dans des réseaux facilement à travers le monde. Cette vision à du sens même si elle se heurte tout de même à la réalité de terrain. Le problème étant que pour exploiter ces commandes, la solution la plus simple est d’avoir un accès physique à l’appareil et de profiter de son USB ou de son UART pour injecter le code nécessaire. Le scénario des agents secrets déguisés en agents de maintenance qui viennent modifier le code d’appareils ESP32 dans une entreprise comme dans un vieux film des années 70 parait peu probable. Une attaque à distance serait possible mais uniquement dans des appareils « préparés » à l’avance. Des objets connectés commercialisés dans l’intention de ce type d’attaque.

D’un autre côté, le scénario pacifiste se heurte à la survie de ces commandes spécifiques. L’ESP32 est apparu en 2016, 9 ans plus tard, ces commandes sont toujours non seulement toujours présentes, mais surtout toujours non documentées. S’il s’agit d’un oubli de la part des développeurs, il parait étrange qu’elles aient été oubliées aussi longtemps.

Une multiprise électrique programmable sous ESP32

Un troisième scénario découle de ces deux premiers, qu’ils soient vrais ou faux. C’est celui d’un fabricant tiers qui développerait un outil avec un ESP32, par exemple une multiprise connectée ou une solution de développement, et qui injecterait volontairement un code malveillant en amont de la commercialisation de son produit. La puce de base serait « propre » mais pas assez sécurisée avec des développements non documentés possibles. Mais le produit commercialisé serait quant à lui modifié pour exploiter ces failles et se comporter de manière à récupérer des données. Ce scénario parait improbable au premier abord, mais il suffit de se souvenir de la manipulation faite par les services secrets Israéliens sur les bipeurs utilisés par le Hezbollah au Liban pour se dire qu’une stratégie de déploiement ciblé de matériels sous ESP32 peut parfaitement être imaginable. 

On peut même imaginer des scénarios mafieux ou ce type de solution seraient déployées à grande échelle en compromettant des appareils en amont, au sortir d’une usine, afin de récolter des données ou d’utiliser ces outils comme chevaux de Troie pour repérer des cibles et effectuer d’autres opérations comme des vols de cryptomonnaies ou une demande de rançon.

Quelles solutions possibles autour de ces produits exploitant l’ESP32?

Difficile de dire quelles contremesures seraient adaptées à l’usage de ces ESP32 est difficile. Peut-être que la solution la plus simple reste toujours de surveiller d’une manière ou d’une autre ce qui entre et sort de votre connexion à internet. En utilisant un routeur spécialisé ou une machine dédiée en aval de votre box opérateur. Il y a peu de chances que vous puissiez détecter vous-même si vos appareils sous puces Espressif posent un souci de sécurité. 

La société n’a pas encore communiqué autour de ce problème et aucun outil de validation ne semble avoir été développé pour contrer cette attaque possible pour le moment.

Source : Bleepingcomputer