UniFi Network : 22 failles critiques corrigées, dont 3 avec un score CVSS de 10/10

L’écosystème UniFi d’Ubiquiti, bien qu’apprécié pour sa simplicité d’administration, vient de faire l’objet d’une mise à jour de sécurité majeure. Vingt-deux vulnérabilités ont été corrigées simultanément à travers les composants Network, Protect, OS et Talk, incluant trois failles critiques exploitées sans authentification préalable.

En bref

• 22 CVEs corrigées : La mise à jour couvre les clients Network Application (NA), les caméras Protect, le système d’exploitation UniFi OS et les téléphones Talk.
• 3 failles CVSS 10.0 : Des vulnérabilités d’exécution de code arbitraire (RCE) ou de fuite d’information critique ont été identifiées, permettant un contrôle total de l’infrastructure sans credentials.
• Surface d’attaque élargie : Les failles ne se limitent pas au contrôleur central ; les appliances locales (caméras, points d’accès) sont directement ciblées.
• Action immédiate requise : Les administrateurs doivent prioriser la mise à jour du contrôleur Network avant les périphériques pour empêcher la réintroduction de vulnérabilités via l’interface de gestion.
• Impact business : Risque élevé d’intrusion dans les réseaux d’entreprise, de vol de données vidéo (Protect) et de prise de contrôle des téléphones professionnels (Talk).

Analyse des failles critiques (CVSS 10.0)

Les trois vulnérabilités classées avec une note maximale de 10,0 sur l’échelle CVSS 3.1 représentent un risque existentiel pour les déploiements non patchés. Contrairement aux failles classiques nécessitant des privilèges d’administrateur, ces vulnérabilités permettent souvent l’exploitation depuis le réseau local ou même à distance si le port est exposé.

1. Exécution de Code Arbitraire (RCE) dans UniFi Network

La faille la plus préoccupante réside dans le service de gestion du contrôleur Network. Un attaquant peut envoyer des requêtes malformées à l’interface API interne, contournant les mécanismes d’authentification standard. En exploitant cette vulnérabilité, un acteur malveillant peut exécuter du code arbitraire avec les privilèges du processus networkd.

Cela permet :

• La création de comptes administrateurs backdoor persistants.
• La modification silencieuse des règles de pare-feu.
• L’installation de webshells ou de chargeurs de malware (loaders) dans le système de fichiers du contrôleur.

# Exemple hypothétique d'une requête malveillante (non fonctionnelle, illustrative)
# L'attaquant cible l'endpoint /api/s/site/{site}/... avec des paramètres injectés
curl -X POST "https://[IP_CONTROLLEUR]:443/api/s/default/system" \
  -H "Content-Type: application/json" \
  -d '{"cmd": "exec", "args": ["whoami"]}'

2. Fuite d’Informations Critiques dans UniFi Protect

Le composant Protect, qui gère la vidéosurveillance, souffre d’une vulnérabilité permettant la lecture non autorisée des fichiers de configuration et des clés d’API. Bien que les flux vidéo soient chiffrés, l’exfiltration des métadonnées (horodatages, noms de caméras, positions géolocalisées) constitue une violation grave de la vie privée et des réglementations comme le RGPD.

De plus, une faille d’élévation de privilèges permet à un utilisateur avec un accès en lecture seule de générer des tokens d’écriture, modifiant ainsi les rétentions de logs et les politiques de chiffrement.

3. Faille d’Authentification dans UniFi Talk

Les terminaux téléphoniques UniFi Talk sont vulnérables à une faille permettant de forcer la réinitialisation de mot de passe ou de prendre le contrôle de l’interface utilisateur de l’appareil. Dans un contexte d’entreprise, cela expose les communications vocales sensibles et permet le redémarrage forcé des postes, causant des interruptions de service.

Déploiement de la correction : Procédure pas à pas

La correction de ces 22 failles nécessite une approche méthodique. Il ne suffit pas de cliquer sur "Mettre à jour" ; il faut vérifier l’intégrité de l’image et la cohérence de la configuration.

Étape 1 : Sauvegarde et Audit Préalable

Avant toute intervention, exportez la configuration complète et vérifiez l’état des certificats.

# Depuis l'interface web UniFi Network (recommandé)
# 1. Allez dans Settings > System > Backup
# 2. Cliquez sur "Backup" pour générer un fichier .zip

# Depuis la ligne de commande (SSH) sur le contrôleur (si activé)
# Vérifier l'espace disque disponible (recommandé : > 5 Go libres)
df -h /

# Vérifier les processus critiques en cours
systemctl status unifi-networkd
systemctl status unifi-protectd

Étape 2 : Mise à jour du Contrôleur Network

Le contrôleur central doit être mis à jour en premier. Cela garantit que les firmware des périphériques servis aux AP, switches et gateways sont les versions corrigées.

1. Accédez à Settings > System.
2. Sous l’onglet Firmware, vérifiez la version disponible.
3. Téléchargez la dernière image (ex : UNIFI_NETWORK_8.2.x.x).
4. Cliquez sur Update.

Attention : Le contrôleur redémarrera. Prévoyez une fenêtre de maintenance de 15 à 30 minutes selon la taille du site. Assurez-vous que le serveur de temps (NTP) est synchronisé pour éviter les erreurs de certificat lors du redémarrage.

Étape 3 : Mise à jour des Appliances (AP, Switches, Gateways)

Une fois le contrôleur à jour, forcez la mise à jour des périphériques.

1. Allez dans Devices (Périphériques).
2. Sélectionnez tous les appareils (Ctrl+A ou Shift+Clic).
3. Cliquez sur le menu "..." > Update.
4. Cochez "Force Update" si la version actuelle est déjà la plus récente mais qu'un bug connu persiste.

Vérifiez spécifiquement les UniFi Access Points et les Gateways, qui sont les points d’entrée primaires du réseau. Les failles CVSS 10.0 sont souvent associées aux services d’exposition réseau de ces équipements.

Étape 4 : Mise à jour de UniFi Protect et Talk

Ces composants sont souvent gérés séparément ou via des applications dédiées.

• UniFi Protect : Accédez à l’interface web de Protect (https://[IP]:7443). Allez dans Settings > System > Firmware. Mettez à jour le serveur Protect (UCC ou NVR) puis les caméras.
• UniFi Talk : Utilisez l’application UniFi Talk sur les téléphones concernés. Allez dans Profil > À propos pour vérifier la version. Si la version est antérieure à la correction, forcez le redémarrage de l’application et reconnectez-vous.

Risques résiduels et durcissement de la configuration

Même après la correction des 22 failles, l’architecture par défaut d’UniFi présente des faiblesses structurelles que les consultants IT doivent corriger.

Isolation des réseaux de gestion

Ne laissez jamais le réseau de gestion UniFi (où se trouvent le contrôleur et les AP) exposé au réseau utilisateur ou à Internet.

Recommandation : Créez un VLAN dédié (ex : VLAN 999) pour le trafic de gestion UniFi. Utilisez une règle de pare-feu strict sur le contrôleur :

# Exemple de règle iptables (à adapter selon l'OS du contrôleur ou le pare-feu externe)
# Autoriser uniquement le trafic de gestion depuis les sous-réseaux administrateurs
iptables -A INPUT -s 10.0.0.0/24 -d [IP_CONTROLEUR] -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -d [IP_CONTROLEUR] -p tcp --dport 8080 -j ACCEPT

# Bloquer tout le reste vers l'interface de gestion
iptables -A INPUT -d [IP_CONTROLEUR] -p tcp --dport 443 -j DROP
iptables -A INPUT -d [IP_CONTROLEUR] -p tcp --dport 8080 -j DROP

Désactivation des services inutiles

Si vous n’utilisez pas UniFi Talk, désactivez le service sur le contrôleur pour réduire la surface d’attaque.

# Sur le contrôleur (si accès shell disponible)
systemctl stop unifi-talkd
systemctl disable unifi-talkd

Surveillance des logs

Activez l’export des logs vers un SIEM. Les tentatives d’exploitation des failles CVSS 10.0 génèrent souvent des erreurs HTTP 500 ou des entrées dans les logs de networkd avec des chaînes de caractères anormales.

Bonnes pratiques pour consultants IT

1. Segmentation stricte : Le contrôleur UniFi doit résider dans une zone DMZ interne ou un VLAN de gestion isolé. Jamais sur le VLAN Utilisateurs.
2. Mise à jour en cascade : Toujours mettre à jour le contrôleur avant les périphériques. Inversement, ne jamais mettre à jour un AP sans que le contrôleur ne soit à jour, au risque de créer un état incohérent.
3. Audit des comptes : Après la mise à jour, révoquez toutes les sessions actives et forcez le changement de mot de passe pour les comptes administrateurs. Les failles RCE permettent souvent la création de comptes fantômes.
4. Chiffrement des flux : Vérifiez que le chiffrement WPA3 est activé sur tous les SSID. Les failles de type "fuite d’information" exploitent souvent les faiblesses du chiffrement faible.
5. Plan de rétrogradation : En cas de dysfonctionnement majeur post-mise à jour, ayez une image de sauvegarde connue bonne (Golden Image) prête à être restaurée. La rétrogradation de firmware UniFi est complexe et peut corrompre la base de données locale.

Points clés

• Urgence : Les 3 failles CVSS 10.0 permettent une prise de contrôle totale sans authentification. La mise à jour est critique, pas optionnelle.
• Périmètre : La vulnérabilité touche l’ensemble de la stack : Contrôleur (Network), Stockage (Protect) et Terminaux (Talk).
• Procédure : Sauvegarde -> Mise à jour Contrôleur -> Mise à jour Appliances -> Vérification des logs.
• Durcissement : La correction logicielle ne suffit pas. L’isolation réseau (VLAN de gestion) et la restriction des ports (443, 8080) sont indispensables pour sécuriser l’infrastructure à long terme.
• Vigilance : Ubiquiti a historiquement des délais de patching variables. Intégrez UniFi dans votre processus de gestion des vulnérabilités avec une revue trimestrielle des CVEs.

En tant que consultants IT, votre rôle est de transformer cette contrainte de sécurité en opportunité pour re-vérifier l’hygiène de sécurité des clients. Cette vague de 22 failles est un rappel que les solutions "toutes-en-un" simplifient la gestion mais complexifient la sécurité si elles ne sont pas correctement isolées et surveillées.

Source : IT Connect