SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
PME - CyberBBQ part 1 - La place de la protection web durant un incident
22 août 2026
Parce que... c'est l'épisode 0x334!
Big bro au bureau par Cyber Citoyen et Polysécure
18 aoput 2026
Parce que... c'est l'épisode 0x333!
Actu - 23 août 2026
23 août 2026
Parce que... c'est l'épisode 0x332!
Spécial - Chronhr ou comment trouver la fraude (Propolys)
14 août 2026
Parce que... c'est l'épisode 0x331!
Teknik - Le CI/CD pour piéger les développeurs
09 juillet 2026
Parce que... c'est l'épisode 0x330!
PME - Retour d'expérience de la seconde cohorte de l'UQTR FORCE
11 juin 2026
Parce que... c'est l'épisode 0x32F!
Actu - 16 août 2026
16 août 2026
Parce que... c'est l'épisode 0x32E!
Teknik - Breaking the Backbone of Global ISP Networks (Troopers)
20 juillet 2026
Parce que... c'est l'épisode 0x32D!
Parce que… c’est l’épisode 0x32D!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 1 au 3 décembre 2026 - Ottawa, Canada - Forum inCYBER Canada
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
Description
Dans cet épisode de Polysécure, l’animateur reçoit Mathieu Farrell, chercheur en sécurité chez Quarkslab au sein de l’équipe Adversary Simulation. L’échange revient sur une présentation donnée par Mathieu à la conférence Troopers, en Allemagne, intitulée Breaking the Backbone of Global ISP Networks, qui a aussi été présentée à Zer0Con en Corée et à DEFCAMP à Singapour.
Le contexte : OLT et ONT
Le sujet central porte sur les équipements réseau fibre optique appelés OLT (Optical Line Terminal). Ces routeurs relient le réseau des fournisseurs internet (FAI) au équipement des clients, appelé ONT (Optical Network Terminal) — la « box » que l’on retrouve chez les particuliers. Les OLT se connectent aux ONT par fibre, généralement au bas des immeubles ou dans la rue, et sont ensuite rattachés au réseau de l’opérateur ainsi qu’à un « cloud manager », l’application centrale qui gère l’ensemble du parc d’équipements.
Un constat frappant émerge d’entrée de jeu : ces OLT sont parfois directement accessibles, autant physiquement que sur internet. Mathieu mentionne qu’en Nouvelle-Zélande, par exemple, les OLT sont installés dans des boîtiers en plastique accessibles dans la rue, pensés pour faciliter les interventions techniques — mais tout autant exploitables par un attaquant. Une réalité que l’animateur note aussi présente potentiellement au Canada.
Premier axe : l’accès physique
Le premier scénario d’attaque décrit consiste à se brancher physiquement au port série de l’équipement. Une fois connecté, on tombe sur un shell restreint. Grâce au reverse engineering du firmware — récupéré en ligne — Mathieu et son équipe ont identifié une commande vulnérable à une injection de commande, exploitable de façon triviale. Cela permet d’obtenir un accès root sur l’OLT, dont le système sous-jacent tourne sous Linux.
Une fois root, l’attaquant peut extraire la configuration de l’appareil, notamment le routage IP et l’adresse du cloud manager auquel il est rattaché. Il devient alors possible de pivoter : en posant un implant, l’attaquant peut faire du SOCKS et atteindre directement le cloud manager depuis ce point d’entrée.
Le cloud manager : la clé du réseau
Le cloud manager est une application web classique, déployée sous Java Tomcat et conteneurisée avec Docker — non pas pour des raisons de sécurité, mais simplement pour faciliter le déploiement. Or, la configuration Docker montre un défaut critique : le socket Docker de l’hôte est monté dans le conteneur. Une fois ce dernier compromis, il devient possible d’interagir avec ce socket pour s’évader du conteneur et exécuter du code directement sur la machine hôte, en plein cœur du réseau de l’opérateur.
Mathieu observe que les FAI semblent considérer cette zone du réseau comme suffisamment protégée pour ne pas nécessiter une surveillance accrue — une hypothèse que cette chaîne d’attaque complète vient clairement invalider. Il souligne aussi que la barrière à l’entrée pour ce type d’attaque n’est pas technique, mais économique : il suffit de pouvoir se procurer un OLT pour effectuer le reverse engineering et reproduire les bugs.
Deuxième axe : l’exposition sur internet
Le second axe d’attaque touche les OLT directement exposés sur internet. En utilisant des moteurs de recherche spécialisés comme Shodan, Censys et FOFA, l’équipe a pu récupérer des fragments de la page de connexion web propre à chaque OLT, puis chercher ces empreintes en ligne pour dresser une liste de cibles.
Plusieurs failles ont été identifiées :
- Des identifiants par défaut, partagés entre plusieurs modèles et versions de firmware, encore utilisés sur certains équipements exposés publiquement — une situation d’autant plus préoccupante dans un contexte géopolitique où des infrastructures critiques restent ainsi exposées.
- Une vulnérabilité dans le binaire d’authentification web (écrit en C), qui concatène les identifiants reçus par requête POST dans une chaîne de caractères passée à une fonction système sans validation, permettant l’exécution de commandes arbitraires.
- Une route API exposant une fonction de type traceroute qui accepte une adresse IP en paramètre sans validation, permettant là aussi une injection de commande triviale.
Mathieu insiste sur le fait que l’équipe a volontairement misé sur des techniques d’exploitation « triviales » plutôt que sur des vulnérabilités de corruption mémoire plus sophistiquées (use-after-free, buffer overflow) également découvertes durant l’audit. L’objectif : obtenir une chaîne d’exploitation fiable, stable et prévisible, plutôt qu’un exploit spectaculaire mais risqué de faire planter l’équipement.
Divulgation responsable difficile
Malgré plusieurs semaines — voire près d’un mois — de tentatives pour contacter l’éditeur du firmware, aucune réponse n’a été obtenue. Face à la sensibilité des cibles concernées, l’équipe a dû passer par les CERT nationaux (CERT-FR, CERT-US, entre autres) pour informer les opérateurs touchés. Un an plus tard, l’autorisation de publication a finalement été donnée, sans jamais avoir de retour direct du fabricant.
Pistes pour la suite
En conclusion, Mathieu suggère une piste de recherche future : s’intéresser au protocole OMCI, qui régit la communication entre les OLT et les ONT chez les particuliers — un axe qui pourrait révéler d’autres vulnérabilités et amplifier encore l’impact de cette chaîne d’attaque.
L’échange se termine sur un constat partagé : ces classes de vulnérabilités, dignes des années 1990-2000, persistent encore aujourd’hui dans des équipements critiques que l’on présume à tort bien sécurisés — un rappel de l’importance de ce type de recherche pour sensibiliser l’industrie.
Notes
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: fibre, olt, ont, red, vulnerabilite
