Des chercheurs en sécurité ont trouvé le moyen, via JavaScript, d'accéder à un réseau domestique ou d'entreprise puis d'attaquer les périphériques connectés (routeurs, imprimantes...).

Le principe

La particularité de ce code, intégrable dans une page Web quelconque, est qu'il ne provoque pas d'alerte dans le navigateur qui se contente de l'exécuter purement et simplement. Dès lors, le script n'est pas gêné par le pare-feu puisque, rappelons-le, il s'exécute dans le navigateur. Billy Hoffman, un des chercheurs, indique avoir trouvé une méthode pour scanner le réseau, trouver les périphériques connectés et leur envoyer des commandes ou des attaques. Imaginez alors une imprimante se mettant à imprimer n'importe quoi ; la chose pourrait prêter à rire, mais qu'en est-il d'un routeur dont les paramètres de sécurité sont désactivés ? Un script de ce type placé sur un site piraté (avec le code injecté grâce à des vulnérabilités XSS) toucherait un très grand nombre d'internautes et de sociétés et pourrait provoquer de gros problèmes.

Les détails

Ce code correspond à un scanner qui envoie une requête à l'aide de l'objet JavaScript « Image » (comme un « pingCommande informatique permettant de savoir si une autre machine connectée sur un réseau est allumée et de mesurer le temps qu'elle met à répondre. ... ») pour trouver les machines connectées au réseau. Après, il ne reste qu'à détecter les particularités du périphérique et à lancer l'attaque. Le document de la société SPI Dynamics, une des deux sociétés qui s'est penchée sur le scanner (l'autre étant White Hat Security), indique que pour détecter un serveur IIS le scanner cherche l'image /pagerror.gif et vérifie sa taille. Il faut bien comprendre que ce code n'exploite aucune faille et qu'il n'existe donc actuellement aucun moyen de se défendre contre ce type de script, à moins de désactiver complètement JavaScript dans le navigateur.

La place du JavaScript

Avec l'essor du Web 2, JavaScript est de plus en plus présent, surtout grâce à une technique très à la mode en ce moment, AJAX (Asynchronous JavaScript and XML). Il existe bien entendu des failles dans dans JavaScript mais les chercheurs ne se sont jamais réellement penchés dessus. De plus, cette nouvelle méthode risque de faire certains dégâts, car c'est le fonctionnement même des applications qu'il faudra revoir. Enfin, bien qu'il existe déjà des scanneurs de ports (pour vérifier la sécurité d'un poste par exemple) programmés en JavaScript, celui de SPI Dynamics est bien plus complexe.

SPI Dynamics propose sur son site un document (au format PDF) expliquant plus en détail le fonctionnement du scanner, mais aussi un exemple d'exploitation de la faille.

• Consulter la page de SPI Dynamics