Une note de gravité maximale, ça n’arrive pas tous les jours. Ubiquiti vient de publier une salve de correctifs pour UniFi OS, le système qui anime ses passerelles et contrôleurs réseau très prisés dans les homelabs. Au menu : sept vulnérabilités critiques, dont une décrochant le score parfait sur l’échelle de sévérité, celui qu’aucun administrateur n’a envie de croiser.
Points clés
- Ubiquiti publie des correctifs pour sept vulnérabilités critiques dans UniFi OS.
- L’une d’elles atteint la gravité maximale et permet une injection de commandes.
- Contrôleurs et passerelles UniFi exposés sont des cibles prioritaires, la mise à jour est recommandée sans délai.
Une injection de commandes en guise de tapis rouge
La star de ce lot est une faille d’injection de commandes. Traduction pour les non-initiés : un attaquant peut faire exécuter à l’équipement des instructions qui ne figuraient pas au programme, avec les privilèges du système. Sur du matériel qui garde la porte d’entrée du réseau, c’est le genre de trou qu’on préfère boucher avant le week-end.
Les six autres vulnérabilités corrigées sont elles aussi classées critiques. Ubiquiti n’a pas détaillé publiquement chaque scénario d’exploitation, mais la consigne est limpide : mettre UniFi OS à jour sans traîner.
Ce que doivent faire les administrateurs
La marche à suivre tient en une ligne : installer la dernière version d’UniFi OS dès qu’elle est disponible sur vos équipements. Les contrôleurs et passerelles UniFi étant souvent exposés pour l’administration à distance, un appareil non patché reste une cible de choix.
- Vérifier la version d’UniFi OS installée et appliquer la mise à jour proposée.
- Limiter l’exposition des interfaces d’administration à Internet quand ce n’est pas indispensable.
- Surveiller les journaux à la recherche d’activité inhabituelle sur les équipements concernés.
Ubiquiti a bâti sa réputation sur du matériel réseau accessible et puissant, apprécié bien au-delà des seuls professionnels. Le revers de cette popularité : chaque faille critique concerne une flotte immense d’appareils. Un correctif ignoré ne protège personne.
