L’outil de présentation de Barco peut être abusé par des pirates

Clickshare, l’outil de présentation de Barco, contient plusieurs points faibles. Il en résulte qu’un hacker pourrait intercepter des présentations, voire carrément pirater le PC utilisé en la circonstance.

Ces bugs ont été découverts par F-Secure, qui en a informé Barco début du mois d’octobre déjà. Barco sort à présent une mise à jour du firmware, même s’il n’est pas certain du tout qu’elle résolve tous les problèmes.

Clickshare est un composant matériel (‘dongle’) qui se connecte automatiquement à un appareil branché sur un vidéoprojecteur ou un téléviseur. Le dongle partage ensuite la présentation sur l’écran en mettant en oeuvre un réseau wifi fermé entre l’émetteur et le récepteur.

F-Secure a décelé plusieurs points faibles dans Clickshare, puisqu’elle a recensé en tout 10 CVE (numéros d’identification uniques de bugs). La bonne nouvelle, c’est qu’ils nécessitaient quasiment tous un accès physique aux appareils Clickshare, sauf un.

“Si une entreprise utilise les paramètres par défaut de Clickshare, sans suivre les recommandations données par Barco même, il suffit alors de se trouver dans les environs d’une salle de réunion pour intercepter tout ce qui y est présenté”, explique Tom Van De Wiele, principal security analyst chez F-Secure, à Data News.

Dans les autres cas, un accès physique s’avère nécessaire, mais selon Van De Wiele, il ne faut que très peu de temps pour infecter l’appareil. Ensuite, les données qu’il émet, peuvent être interceptées. Il est aussi possible de causer ainsi davantage de dégâts. “Surtout dans des salles de réunion, où pas mal d’inconnus peuvent passer: invités, personnel de nettoyage, etc., qui pourraient avoir un accès même bref à l’appareil.”

Une fois le composant matériel Clickshare identifié, la porte est aussi ouverte à l’introduction d’un malware provoquant l’infection du PC utilisé. Par souci de clarté, il est question ici d’une contamination particulière, qui est en soi indépendante de Clickshare. Mais c’est précisément parce que c’est un appareil qui est connecté sans trop de méfiance que le risque existe.

“C’est comme dans le cas d’une clé USB, dès que vous la branchez, des pilotes sont chargés sur l’appareil. Remplacez-les par du malware et vous aurez accès au PC ciblé. Il serait par exemple possible d’expédier un composant Clickshare à une entreprise avec la mention qu’il s’agit d’une pièce de rechange. Il y a alors le risque qu’il aboutisse automatiquement dans une salle de réunion.”

F-Secure ignore dans quelle mesure la mise à jour du firmware lancée par Barco va résoudre tous les problèmes. La firme de sécurité fait observer qu’un certain nombre des problèmes découverts sont dus à des éléments matériels qui ne peuvent être corrigés par une mise à jour logicielle. “Mais cela ne rend pas pour autant l’appareil inutilisable. Il est possible que Barco même puisse encore manoeuvrer autour des obstacles matériels.” Pour savoir comment la mise à jour s’applique, l’entreprise renvoie à la page des produits de Barco.

Van De Wiele n’affirme pas que Clickshare offre par définition une piètre protection, mais signale qu’un appareil convivial intégrant divers composants offre pas mal de possibilités aux pirates. “La sécurité est une responsabilité partagée entre le fabricant et l’utilisateur final. Le premier doit rendre son produit le plus sûr possible, alors que le second ne peut l’utiliser dans des environnements à risque.”