Excellente réponse. Oui il y a un bogue non corrigé dans le serveur DNS intégré à la Livebox. Et "CVE" n'a pas l'habitude de faire des alertes publiques au hasard ou pour répondre à des objectifs comemricaux des antivirus, surtout quand ici la vulnérabiltié est marquée comme "HIGH" (élevée) et facilemetn exploitable pour attaquer le firmware de la box et y pouvoir installer des parasites qui iront espionner votre réseau local, ou pourrons aussi se servir de la box elle-même pour faire du "mining" de cryptomonnaies et la faire sérieusement ralentir ou surchauffer, ou la faire planter par manque de mémoire, ou encore se servir de ces paraisites pour installer un agent servant à relayer des attaques distribuées sur Internet ou échanger des contenus pirates ou illégaux, voire criminels sous couvert de votre propre connection Internet avec votre adresse IP !
Le jour où ça arrive, pas sur même que le "reset usine" de la Livebox fonctionne, et si les pirates le savent et arrivent à entrer en root sur la Livebox, ils désactiveront les services de mise à jour et réinitialisation à distance par Orange. Vous n'aurez plus qu'à demander l'échange de la box mais ce sera souvent à vos frais et Orange ne vous expliquera pas la raison de la panne et ne fera rien pour résoudre les problèmes que vous avez eu sur vos équipements privés (vos PC ou smartphones contaminés ou les données personnelles volées et vos comptes bancaires vidés).
Orange devrait prendre ce type d'alerte au sérieux et ne JAMAIS ignorer une alerte "CVE" et surtout pas avec un niveau aussi élevé, et pourtant simple à corriger: Orange doit mettre à jour son firmware et en compiler une nouvelle version corrigeant le service dnsmasq (et les services liés: DHCP, installation à distance, sans doute aussi SNMP, les journaux d'activités, le parefeu).
Et peut-être aussi installer les patchs pour les time-attacks exploitables (Spectre et Meltdown) qui peuvent exister aussi (installer les fix sur le générateur aléatoire du noyau, et l'horloge de précision haute performance qui permet de cadencer certaines réponses avec des délais garantis trop précis révélant des états internes normalement cachés: c'est d'autant plus facile sur la Livebox qui a peu de mémoire, les time-attacks sont plus faciles car les délais en cas de purge d'un cache trop petit permettent de connaitre ces états internes). Ces time-attacks concernent tous les processeurs (pas que Intel ou AMD), tous les systèmes, elles sont aujourd'hui possibles car des algos existent pour les utiliser et judqu'à peu on ne pensait pas que les variations de temps de réponse étaient mesurables et prédictibles (statistiquement significatifs) et permettaient de détecter des étants internes normalement protégés dans des espaces virtualisés.
Mais l'attaque CVE ci-dessus est bien plus facile encore puisque elle touche un accès direct à la mémoire à cause de classiques débordements de buffers ou d'écarasement de pile, ce qui permet l'injection directe de code. Il est facile de voir que la Livebox utilise un noyau Linux, on connait même ses versions, on sait comment ce code va se comporter si on injecte des donénes par débordement de pile ou dépassement de tampon et assez vite un pirate parvient à se frayer un chemin vers la fonction privilégiée qu'il veut atteindre, comme la désactivation des barrières de sécurité ou l'obtentions d'autorisations puis l'accès à un shell interne (la box dispose bien d'un shell interne, type busybox: si le pirate parvient à s'y connecter, il fera ensuite ce qu'il veut dessus).
La Livebox est distribuée à millions d'exemplaires en France, c'est une bonne cible qui intéresse les pirates: ils ont le temps de voir comment elle se comporte et peuvent aussi facilement s'en procurer une pour tester les attaques possibles avant d'aller attaquer les Livebox des millions de clients Orange en France (et aussi dans d'autres pays européens et africains). Et c'est même ssans doute plus facile à attaquer qu'un smartphone (il y en a trop de modèles), ou des PC sous Windows (à cause des normbreuses mises à jour et versions) car la Livebox a un firmware unifié et relativement stable avec peu de variantes (et la plupart des box reçoivent le même firmware avec les mêmes bogues exploitables par les mêmes moyens). Une alerte "CVE" ne doit donc pas être ignorée, et Orange est irresponsable s'il pense pouvoir le faire: ce firmware doit être corrigé et vite avant que les failles commencent à être exploitées (et si ça commence, les pirates iront vite et auront des millions de cibles intéressantes, ces attaques se propagent maintenant comme des trainées de poudre)
