WPSplinter en France : portée du relevé radio parisien

Une ligne dans une présentation peut facilement devenir « les Livebox sont piratables ». Ici, elle mérite mieux. Le 16 octobre 2026, Quentin Kaiser a publié WPSplinter, sa recherche sur le réassemblage EAP-WPS de l’ancien composant Broadcom WPS Monitor. Dans ses slides Hexacon, un relevé radio passif réalisé à Paris classe une référence Livebox 5 et deux révisions SFR NB6VAC « Not Patched ». La preuve d’exécution de code publiée porte, elle, sur des box belges. Ce décalage entre signal français et démonstration belge est précisément la question intéressante : que peut-on dire à un abonné français, et que faudrait-il encore mesurer ?

Ce travail et la découverte appartiennent à Kaiser. Notre apport ici est une lecture technique de la portée française, à la date du 20 octobre 2026. Nous n’avons ni reproduit l’attaque sur une box française, ni inventorié le parc national.

Le parseur reçoit les fragments avant la clé Wi-Fi

Le nom WPS évoque immédiatement l’ancien brute force du PIN. Kaiser décrit un autre défaut. Dans le chemin qu’il a analysé, le point d’accès reçoit des fragments EAP-WPS pendant une phase accessible depuis la portée radio, avant que l’attaquant connaisse la clé du réseau ou termine l’enrôlement WPS. WPS Monitor additionne et copie ces fragments sans borner correctement la taille assemblée à celle du tampon destinataire. Les deux implémentations Broadcom étudiées, eCos et Linux, exposent ainsi des primitives que Kaiser a transformées en divulgation de mémoire puis en exécution de code. Son explication technique et la FAQ du projet détaillent cette frontière d’authentification.

La nuance « à portée radio » compte autant que « sans mot de passe Wi-Fi ». Un attaquant ne déclenche pas ce parseur depuis n’importe quel endroit sur Internet ; il doit pouvoir échanger les trames radio pertinentes avec l’équipement. En revanche, changer le mot de passe Wi-Fi ne corrige pas un traitement atteint avant la vérification de cette clé. Sur une ASKEY TCG3000 d’Orange Belgique, la démonstration de Kaiser récupère la PSK depuis la NVRAM et rejoint ensuite le réseau. Sur une BBOX3V+ de Proximus, elle obtient un shell via des trames 802.11. Ce sont deux résultats concrets, sur des firmwares précis ; les transposer tels quels à Orange France ou SFR serait une conclusion supplémentaire, non démontrée.

L’histoire du correctif explique la persistance du défaut. Kaiser situe l’ancienne implémentation au moins en 2010, décrit une correction incomplète en 2018, puis son remplacement dans un SDK Broadcom plus récent par hostapd. Dans une réponse reproduite par le chercheur, Broadcom indique fournir depuis plusieurs années un logiciel dépourvu de cette vulnérabilité. Cela ne dit pas quel fabricant l’a intégré, encore moins quand un opérateur l’a poussé dans chacune de ses box. Entre SDK, fabricant, firmware personnalisé et mise à jour FAI, le correctif doit franchir plusieurs frontières de responsabilité.

Limites géographiques du relevé parisien

La diapositive « Passive War Driving in Paris » est plus informative qu’un titre alarmiste. Elle classe Sagemcom Fast5656_OFR associé à un SSID Livebox et NB6VAC-FXC-r0/r1 associés à SFR comme « Not Patched ». Sur la même page, Sagemcom F5696b (Bbox), Fast5698_OFR, Fast5670_OFR et un répéteur Sercomm associés à Orange sont « Patched ». Le contraste montre déjà pourquoi « Broadcom » ou même « Livebox » est une catégorie trop large : les intégrations diffèrent.

Le tableau ne donne ni taille de l’échantillon parisien, ni distribution des firmwares, ni tirage représentatif du parc français. « Not Patched » est le classement issu de ce relevé, sans démonstration d’exploitation sur chaque unité portant ce nom. Le dépôt de détection de Kaiser mentionne bien les Neuf NB6/NB6VAC déployées par SFR, mais laisse les versions à TODO. Sa page publique rappelle qu’un même modèle peut avoir plusieurs révisions matérielles et logicielles. Nous ne pouvons donc pas transformer ces lignes en nombre de foyers touchés, ni déclarer toutes les NB6VAC exploitables.

Comment le chercheur rapproche-t-il une box observée d’un composant fermé ? Son outil combine des éléments d’information propriétaires Broadcom dans les trames radio avec une différence de réponse à un fragment WPS de longueur nulle : hostapd et l’ancien wps_monitor ne répondent pas de la même manière. L’élément Broadcom seul ne suffit pas ; son dépôt le dit explicitement. Même la combinaison sert à trier les équipements à examiner, pas à certifier la validation des longueurs dans chaque firmware. Les règles YARA fournies pour les images extraites ont la même limite : une recompilation peut faire manquer une signature, un binaire corrigé peut conserver des octets qui la déclenchent. La vérification décisive se fait sur le chemin de réassemblage du firmware exact. (Méthode et limites du dépôt)

Kaiser donne aussi une estimation d’environ 850 000 box Proximus, 500 000 VOO et 210 000 Orange Belgique potentiellement concernées, à partir de données d’abonnés et de communication commerciale ; il la qualifie lui-même de confiance moyenne. Ce n’est ni un comptage matériel ni, évidemment, une statistique française. Sa chronologie publique documente des contacts avec Broadcom et des acteurs belges ; l’absence de FAI français dans cette liste ne prouve pas l’absence de notification par un autre canal. (Billet et chronologie)

La bonne question à poser au FAI porte sur le firmware

Pour un abonné, le SSID et le nom commercial affiché sur la box ne suffisent pas. Il faut le modèle exact, sa révision matérielle, sa version de firmware et une réponse du fabricant ou du FAI sur la présence de l’ancien WPS Monitor et sur la mise à jour qui traite WPSplinter. Sur une flotte d’entreprise, on peut ajouter l’extraction et la revue du firmware, ou employer les outils de Kaiser pour prioriser les appareils autorisés à tester. Un résultat de fingerprint se confirme ; il ne remplace pas un avis de correctif par version.

Désactiver WPS lorsqu’on ne s’en sert pas est une mesure raisonnable de réduction de surface, mais la FAQ de Kaiser avertit que le bouton d’interface peut laisser le parseur vulnérable actif. Il serait trompeur d’annoncer cette case comme un patch. Il serait tout aussi trompeur de dire qu’aucun patch n’existe : Broadcom décrit un logiciel récent non vulnérable, tandis que sa distribution effective aux abonnés reste à documenter par équipement.

Cette distinction a déjà vieilli une couverture médiatique : The Hacker News, le 19 octobre, évoquait Telenet comme possiblement touché et l’absence de patch à installer ; la mise à jour du billet de Kaiser, le 20 octobre, précise que Telenet s’est déclaré non affecté après examen de sa flotte. Une information sur les opérateurs peut changer en quelques jours. Pour la France, nous attendons surtout des réponses vérifiables d’Orange et de SFR : quelles révisions, quels firmwares, quelle date de déploiement, et quel comportement du parseur après désactivation WPS ?

À ce jour, le relevé de Paris justifie une enquête ciblée sur des références françaises. Il ne justifie ni « millions de box françaises compromises », ni « exploit RCE confirmé sur toutes les Livebox 5 ». Le travail de Kaiser montre une vulnérabilité sérieuse ; notre prochaine unité de preuve doit être le firmware d’une box française donnée, pas une extrapolation de son logo.