Cisco et Fortinet confirment que les données de la NSA partagées par des pirates contiennent bien des informations sur les failles dans leurs pare-feu. L’organisation de sécurité aurait donc dissimulé des renseignements cruciaux à ces entreprises américaines et peut-être à d’autres encore.
Un groupe de pirates appelés Shadow Brokers a, il y a quelques jours, jeté en pâture sur internet 300 mégaoctets de données qui pourraient permettre à des personnes mal intentionnées de pirater des réseaux et applications. Ces données proviendraient de The Equation Group, un groupe de pirates, dont on pense généralement qu’il constitue une branche de la NSA.
Initialement, l’authenticité des données avait été mise en doute, mais Cisco confirme à présent que deux failles dans l’ensemble peuvent être exploitées pour abuser de son Adaptive Security Appliance (ASA). Fortinet confirme également que ses produits sont vulnérables vis-à-vis de ces données. Des adaptations ont été entre-temps effectuées, afin de limiter le problème. Juniper Networks examine actuellement encore si ses produits sont eux aussi susceptibles d’être abusés.
Le fait que The Equation Group soit une branche de la NSA, n’a jamais été confirmé par cette dernière, mais les deux sont néanmoins associés au sein du secteur de la sécurité. Si tel est effectivement le cas, cela signifierait que le service de renseignements américain connaissait depuis des années des informations sur les points faibles des produits de Cisco et de Fortinet, mais ne les a pas partagés avec les entreprises en question.
L’on ne sait pas si d’autres pirates encore, indépendamment de la NSA, ont déjà découvert les brèches et en ont abusé. Mais comme ces données se retrouvent à présent à la rue, ce n’est certainement pas exclu. Quiconque gère des réseaux avec de l’équipement de Cisco, Fortinet, Juniper Networks ou d’autres vendeurs impliqués dans la fuite de données, est invité à suivre de très près dans les prochains jours les pages de support des produits, afin de savoir quels patches (correctifs) sont prévus ou quelles méthodes alternatives il convient d’utiliser de préférence en vue de minimaliser l’impact.
Vous avez repéré une erreur ou disposez de plus d’infos? Signalez-le ici