Les puces ESP32, omniprésentes dans le monde des appareils connectés, font face à une situation inquiétante : une faille critique a été découverte, mettant potentiellement en danger plus d’un milliard d’appareils IoT. Cette vulnérabilité repose sur l’existence de 29 commandes non documentées qui permettent à des attaquants de manipuler la mémoire ou encore d’usurper l’identité des appareils. Alors que ces microcontrôleurs sont largement utilisés pour leur connectivité Bluetooth et Wi-Fi, cette faille soulève de graves questions sur la sécurité des dispositifs connectés.

Qu’est-ce que la faille ESP32 ?

La faille repose sur l’existence de commandes cachées dans le firmware Bluetooth des puces ESP32. Ces commandes, non documentées par le fabricant Espressif, permettent :

• La manipulation de la mémoire RAM et Flash.
• L’usurpation d’adresse MAC pour imiter un appareil légitime.
• L’injection de paquets malveillants via Bluetooth.

Ces fonctions ne sont pas accessibles par les utilisateurs ou développeurs classiques et ont probablement été laissées dans le firmware à des fins internes ou par erreur. Cependant, elles peuvent être exploitées par des acteurs malveillants pour compromettre la sécurité des appareils connectés.

Quels appareils sont concernés ?

Les puces ESP32 sont utilisées dans une vaste gamme d’appareils IoT grâce à leur faible coût et leur double connectivité Wi-Fi et Bluetooth. Parmi les dispositifs vulnérables figurent :

• Les objets connectés domestiques (ampoules intelligentes, thermostats).
• Les appareils médicaux équipés de Bluetooth.
• Les serrures intelligentes et autres dispositifs de sécurité.
• Les smartphones et ordinateurs utilisant ces puces pour leurs accessoires connectés.

En 2023, Espressif a annoncé avoir vendu plus d’un milliard de ces microcontrôleurs, soulignant leur omniprésence dans l’écosystème technologique mondial.

Quels sont les risques associés ?

Les conséquences potentielles de cette faille sont multiples et préoccupantes :

• Usurpation d’identité : un attaquant peut se faire passer pour un appareil légitime afin d’accéder à des données sensibles ou à un réseau sécurisé.
• Piratage à distance : bien que nécessitant un accès physique initial ou une compromission préalable du firmware, ces commandes peuvent être utilisées pour installer des logiciels malveillants persistants.
• Sécurité compromise : les dispositifs médicaux ou de sécurité utilisant ces puces pourraient être manipulés pour causer des interruptions ou collecter des informations confidentielles.
• 

Comment se protéger face à cette menace ?

Face à cette faille critique, plusieurs mesures peuvent être prises pour limiter les risques :

• Mises à jour logicielles : Espressif travaille sur un correctif logiciel destiné à désactiver ou sécuriser ces commandes non documentées, sans donner de date de déploiement précise toutefois.
• Sécurisation physique : limiter l’accès physique aux appareils vulnérables réduit considérablement les possibilités d’exploitation.
• Audit régulier : les entreprises utilisant ces puces devraient effectuer des audits de sécurité pour identifier toute activité suspecte liée aux commandes cachées.
• Systèmes alternatifs : envisager l’utilisation de microcontrôleurs dotés de meilleures garanties en matière de sécurité.

La découverte de cette faille dans les puces ESP32 rappelle aux professionnels et particuliers les défis croissants liés à la sécurité des appareils IoT. Il devient ainsi plus qu’essentiel que les fabricants et utilisateurs adoptent une approche proactive pour prévenir les risques.