L’insécurité des stacks télécoms après Salt Typhoon

• Vulnérabilité des stacks télécoms

  • Contexte : à la fin de l’année dernière, un groupe appelé « Salt Typhoon » a piraté T-Mobile et d’autres opérateurs télécoms. Cet incident a conduit à examiner la sécurité des logiciels open source liés aux télécommunications.

• Dépassement de tampon dans la bibliothèque XMLRPC de FreeSWITCH

  • Problème : dans la bibliothèque XMLRPC de FreeSWITCH, le gestionnaire de requêtes HTTP écrit une URI de longueur arbitraire dans une variable de pile de 4096 octets. Il s’agit d’une vulnérabilité pouvant provoquer un dépassement de tampon, puisqu’un attaquant peut envoyer une URI de plus de 4096 caractères.

  • Correctif : il faut appliquer une programmation C défensive en utilisant snprintf().

• Tentative de divulgation de la vulnérabilité par Soatok

  • 2025-01-27 : envoi des détails de la vulnérabilité à l’adresse e-mail indiquée dans la politique de sécurité de FreeSWITCH.

  • 2025-02-07 : envoi d’un e-mail de suivi pour vérifier si le rapport avait bien été reçu.

  • Réponse : Andrey Volk a répondu que la vulnérabilité avait été corrigée récemment. Cependant, aucune nouvelle version de correctif de sécurité n’a été taguée.

• Problème survenu

  • Un employé de SignalWire a indiqué que les utilisateurs n’ayant pas acheté FreeSWITCH Advantage resteraient vulnérables jusqu’à l’été. Cela signifie que des milliers de stacks télécoms pourraient rester exposées.

• Problème systémique de la sécurité télécom

  • Cause du problème : il existe peu d’incitations économiques à investir dans la sécurité des systèmes télécom. C’est la raison pour laquelle la sécurité télécom reste encore fragile aujourd’hui.

  • Possibilités pour l’avenir : développer un concurrent à FreeSWITCH en Rust, ou voir émerger une volonté politique d’investir dans la sécurité de l’infrastructure télécom aux États-Unis.

• Réflexions de conclusion

  • Ce problème est, en apparence, purement technique, mais il est possible qu’un enjeu plus profond se cache derrière. La réponse de SignalWire a été décevante, mais l’entreprise a tout de même répondu dans les 90 jours et corrigé le problème sur GitHub. Il est possible d’envisager des mesures comme le blocage, au niveau du pare-feu, de l’accès HTTP public à la stack FreeSWITCH.

[GN⁺]

Avis Hacker News

• L’auteur reconnaît ne pas avoir d’expérience en infrastructure au niveau opérateur, mais ses soupçons sont fondamentalement justes

  • Expérience dans la réalisation de tests et de recherches de sécurité 4G et 5G pour plusieurs grands opérateurs
  • Cela dépend des opérateurs et des fournisseurs, mais la sécurité reste très faible
  • Jusqu’à récemment, la sécurité reposait entièrement sur l’obscurité, et les standards 4G et 5G ont commencé à corriger cela, mais d’importantes vulnérabilités subsistent
  • Il est probable qu’un acteur malveillant de niveau intermédiaire puisse pénétrer chez un opérateur
  • Chez certains fournisseurs matériels d’un pays précis d’Asie de l’Est, le logiciel est tellement mal écrit que la sécurité est quasiment inexistante
  • Les fournisseurs matériels occidentaux disposent de logiciels plus matures, mais restent en retard par rapport aux bonnes pratiques de sécurité modernes

• Il est toujours difficile à comprendre qu’en 2025, les standards de téléphonie mobile utilisent encore des clés pré-partagées

  • Des algorithmes comme RSA et Diffie-Hellman existent depuis des décennies
  • Les cartes SIM sont encore configurées avec une clé pré-partagée connue uniquement de la carte et de l’opérateur, et toute l’authentification ainsi que le chiffrement reposent sur cette clé
  • Si l’opérateur est piraté et que la clé est volée, il n’existe aucun moyen de réagir
  • Le fabricant de cartes SIM doit transmettre les clés à l’opérateur, ce qui crée des occasions de piratage ou de vol de clés durant ce processus
  • Si un fabricant de SIM ou un fournisseur d’équipements du réseau cœur coopérait avec la NSA pour fournir les clés, il pourrait être possible d’intercepter le trafic mobile mondial

• La conclusion du billet de blog selon laquelle Freeswitch ne se détourne pas du calendrier de publication communautaire n’est pas du tout surprenante

  • Freeswitch avait un fort esprit communautaire
  • La situation a changé lorsqu’il a pris un virage commercial plus agressif il y a quelques années
  • Désormais, certaines choses nécessitent un accès via « inscription », ce qui rend réticent à fournir des informations personnelles à une entreprise commerciale

• Entre les acteurs de menace étrangers, les Five Eyes / autres accords occidentaux, et les exigences d’augmentation des revenus, il est raisonnable de supposer qu’il n’existe pas de véritable anonymat en ligne

  • Ce n’est pas très différent de l’époque d’avant Internet
  • Pour protéger des informations importantes, il faut les chiffrer d’une manière difficilement accessible électroniquement

• Un domaine où Freeswitch est souvent utilisé sans contrat de support, ce sont les installations BigBlueButton dans les écoles et les universités

  • Cela inquiète davantage que les opérateurs

• Pas totalement convaincu par l’affirmation selon laquelle « la sécurité des télécoms est désastreuse aujourd’hui »

  • Choisir Freeswitch au hasard et y trouver un buffer overflow constitue une preuve faible
  • L’attaque Salt Typhoon aurait exploité une vulnérabilité Cisco, mais des analystes suggèrent que les attaquants ont utilisé des identifiants valides

• Je me demande combien de personnes utilisent le module XML RPC

  • Il n’est pas chargé par défaut
  • D’après Shodan, 468 l’utilisent

• Des piratages vraiment efficaces se produisent via l’injection CAMEL MAP

  • Cela permet de contrôler diverses fonctions comme les SMS, l’USSD et les services de localisation
  • Les fournisseurs de « SMS de masse » sur une île caribéenne prospère et en Indonésie font plus qu’envoyer du spam

• Les grands opérateurs ne font pas tourner FreeSwitch ni Asterisk au cœur de leur réseau

• Je recommande vivement de consulter les présentations de P1 Security sur la sécurité des communications mobiles

  • Le contenu est ancien, mais rien ne permet de croire que la situation se soit améliorée
  • Les vulnérabilités logicielles ne sont qu’une partie du problème, et les opérateurs externalisent le contrôle et les accès critiques au moins-disant