Teknik - Breaking the Backbone of Global ISP Networks (Troopers) - Parce que... c'est l'épisode 0x32D! — PolySécure Podcast

Teknik - Breaking the Backbone of Global ISP Networks (Troopers) - Parce que... c'est l'épisode 0x32D!

PolySécure Podcast · 13/08/2026 04:00 · 21 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x32D! Shameless plug Description

Dans cet épisode de Polysécure, l’animateur reçoit Mathieu Farrell, chercheur en sécurité chez Quarkslab au sein de l’équipe Adversary Simulation. L’échange revient sur une présentation donnée par Mathieu à la conférence Troopers, en Allemagne, intitulée Breaking the Backbone of Global ISP Networks, qui a aussi été présentée à Zer0Con en Corée et à DEFCAMP à Singapour.

Le contexte : OLT et ONT

Le sujet central porte sur les équipements réseau fibre optique appelés OLT (Optical Line Terminal). Ces routeurs relient le réseau des fournisseurs internet (FAI) au équipement des clients, appelé ONT (Optical Network Terminal) — la « box » que l’on retrouve chez les particuliers. Les OLT se connectent aux ONT par fibre, généralement au bas des immeubles ou dans la rue, et sont ensuite rattachés au réseau de l’opérateur ainsi qu’à un « cloud manager », l’application centrale qui gère l’ensemble du parc d’équipements.

Un constat frappant émerge d’entrée de jeu : ces OLT sont parfois directement accessibles, autant physiquement que sur internet. Mathieu mentionne qu’en Nouvelle-Zélande, par exemple, les OLT sont installés dans des boîtiers en plastique accessibles dans la rue, pensés pour faciliter les interventions techniques — mais tout autant exploitables par un attaquant. Une réalité que l’animateur note aussi présente potentiellement au Canada.

Premier axe : l’accès physique

Le premier scénario d’attaque décrit consiste à se brancher physiquement au port série de l’équipement. Une fois connecté, on tombe sur un shell restreint. Grâce au reverse engineering du firmware — récupéré en ligne — Mathieu et son équipe ont identifié une commande vulnérable à une injection de commande, exploitable de façon triviale. Cela permet d’obtenir un accès root sur l’OLT, dont le système sous-jacent tourne sous Linux.

Une fois root, l’attaquant peut extraire la configuration de l’appareil, notamment le routage IP et l’adresse du cloud manager auquel il est rattaché. Il devient alors possible de pivoter : en posant un implant, l’attaquant peut faire du SOCKS et atteindre directement le cloud manager depuis ce point d’entrée.

Le cloud manager : la clé du réseau

Le cloud manager est une application web classique, déployée sous Java Tomcat et conteneurisée avec Docker — non pas pour des raisons de sécurité, mais simplement pour faciliter le déploiement. Or, la configuration Docker montre un défaut critique : le socket Docker de l’hôte est monté dans le conteneur. Une fois ce dernier compromis, il devient possible d’interagir avec ce socket pour s’évader du conteneur et exécuter du code directement sur la machine hôte, en plein cœur du réseau de l’opérateur.

Mathieu observe que les FAI semblent considérer cette zone du réseau comme suffisamment protégée pour ne pas nécessiter une surveillance accrue — une hypothèse que cette chaîne d’attaque complète vient clairement invalider. Il souligne aussi que la barrière à l’entrée pour ce type d’attaque n’est pas technique, mais économique : il suffit de pouvoir se procurer un OLT pour effectuer le reverse engineering et reproduire les bugs.

Deuxième axe : l’exposition sur internet

Le second axe d’attaque touche les OLT directement exposés sur internet. En utilisant des moteurs de recherche spécialisés comme Shodan, Censys et FOFA, l’équipe a pu récupérer des fragments de la page de connexion web propre à chaque OLT, puis chercher ces empreintes en ligne pour dresser une liste de cibles.

Plusieurs failles ont été identifié

Plus d'informations