Une faille critique dans le protocole WPA2 laisse le trafic Wi-Fi vulnérable aux écoutes

BULLETIN D'ALERTE DU CERT-FR

Objet : Vulnérabilité dans le protocole WPA/WPA2
Référence : CERTFR-2017-ALE-014

Risque(s)

- Atteinte à la confidentialité des données

Systèmes affectés

La vulnérabilité affectant le protocole de sécurisation des échanges utilisant le mécanisme Wi-Fi Protected Access (WPA), de nombreux systèmes sont impactés. Une liste exhaustive est disponible dans la section documentation de cette alerte.

La vulnérabilité touche entre autres les systèmes suivants:

- Windows
- Linux
- Android
- Apple

Résumé

Plusieurs vulnérabilités ont été découvertes dans WPA/WPA2. Il est possible lors de l'établissement d'une session de communication utilisant le protocole WPA/WPA2 d'interférer sur le mécanisme en quatre temps visant à assurer la confidentialité des échanges. Lors de cette phase d'initialisation, un utilisateur malveillant interceptant les communications entre un client et un point d'accès Wi-fi, peut amener le client à réutiliser des paramètres entrant en compte dans le chiffrement des données échangées. Cela peut permettre à un attaquant de provoquer une atteinte à la confidentialité des données.

Des informations complémentaires seront ajoutées à la présente page.

Solution

Plusieurs éditeurs ont diffusé des correctifs pour ces vulnérabilités. Le CERT-FR recommande l'application de ceux-ci au plus vite.

Documentation

- Page internet décrivant l'attaque sur le protocole WPA/WPA2
https://www.krackattacks.com/
- Liste des systèmes affectées par la vulnérabilité WPA2
https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=228519&SearchOrder=4
- Référence CVE CVE-2017-13077
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13077
- Référence CVE CVE-2017-13078
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13078
- Référence CVE CVE-2017-13079
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13079
- Référence CVE CVE-2017-13080
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13080
- Référence CVE CVE-2017-13081
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13081
- Référence CVE CVE-2017-13082
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13082
- Référence CVE CVE-2017-13084
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13084
- Référence CVE CVE-2017-13086
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13086
- Référence CVE CVE-2017-13087
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13087
- Référence CVE CVE-2017-13088
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13088

Dernière version de ce document: https://www.cert.ssi.gouv.fr/alerte/CERTFR-2017-ALE-014/