La faille qu’aucune mise à jour ne corrigera

Parmi les interventions courtes de BarbHack 2026, celle-ci tenait en quelques minutes et méritait bien davantage. Un chercheur a acheté un objet connecté intime d’entrée de gamme, capturé son trafic Bluetooth, et constaté que l’appareil se pilote en clair, sans appairage et sans authentification, par n’importe qui se trouvant à portée radio. Techniquement, la découverte est banale. Par ses conséquences, elle ne l’est pas du tout. Et surtout : elle ne sera jamais corrigée.

Onzième volet de notre couverture de BarbHack, et le premier tiré de la session de rumps. Nous le traitons comme n’importe quel autre sujet de sécurité, parce que c’en est un.

Le canal de découverte utilisé comme canal de commande

Le Bluetooth Low Energy prévoit deux temps. D’abord l’advertising : un mode de diffusion, public et non authentifié par conception, qui sert à annoncer sa présence. Ensuite la connexion, avec appairage, association et chiffrement de transport, une fois les deux appareils d’accord pour se parler.

L’appareil analysé n’utilise jamais le second temps. Il se sert de l’advertising comme canal de commande permanent. Trois conséquences en découlent, et elles s’enchaînent mécaniquement :

• Pas de saut de fréquence. Les trames restent sur les canaux d’advertising fixes, là où une connexion établie ferait sauter la communication de canal en canal. Il n’y a donc rien à suivre : il suffit d’écouter au bon endroit.
• Tout circule en clair. Aucun chiffrement de transport. N’importe quel récepteur Bluetooth standard lit les échanges.
• L’adresse de la source n’est pas vérifiée. L’appareil accepte les commandes sans se soucier de qui les émet. Autrement dit, il n’est pas nécessaire de s’être appairé, ni d’avoir jamais été en relation avec lui, pour lui donner un ordre valide.

Les commandes de contrôle sont donc lisibles, et surtout rejouables depuis un outil Bluetooth ordinaire. Nous n’en publions pas la structure : elle n’apporterait rien à la compréhension du problème, et beaucoup à qui voudrait en abuser.

Ce n’est pas un défaut d’implémentation, c’est une décision d’architecture. L’advertising est fait pour être public et non authentifié. En s’en servant comme canal de commande, le produit n’a pas oublié l’authentification : il a choisi un support qui n’en comporte pas.

L’impact, par cercles concentriques

Le chercheur a présenté trois scénarios, de gravité croissante. Ils valent d’être rapportés, parce qu’ils montrent comment une faiblesse anecdotique change de nature avec l’échelle.

• Le voisinage. Dans un rayon Bluetooth ordinaire, de l’ordre de dix à cent mètres selon l’environnement, un tiers peut déterminer que l’appareil est en fonctionnement, dans quel mode, et en prendre le contrôle sans le consentement de la personne concernée. Ce n’est pas une farce de geek : il s’agit d’agir sur un objet en contact avec le corps de quelqu’un, à son insu. Selon les circonstances, cela ne relève pas seulement de la sécurité informatique.
• L’espace public dense. Un simple boîtier passif laissé dans un quartier fréquenté collecte des statistiques d’usage agrégées. Personne n’est piraté au sens habituel du terme, et pourtant une donnée parmi les plus intimes qui soient devient mesurable à l’échelle d’un quartier, par un observateur que rien n’autorise.
• Les abords de sites sensibles. Le troisième scénario relève du renseignement : la même capacité, employée à proximité de lieux diplomatiques ou protégés, ouvre la voie à une compromission comportementale de personnes ciblées. On quitte le registre de la curiosité pour celui de la contrainte.

Et personne ne corrigera

C’est le point qui fait de cette rump autre chose qu’une anecdote. Trois éléments se combinent :

• Il n’existe aucun mécanisme de mise à jour sur ces appareils. Pas de canal de diffusion de correctif, pas de micrologiciel remplaçable. Même si le fabricant le voulait, il n’aurait pas par où faire passer un correctif.
• La base logicielle est partagée. L’application de contrôle est la copie d’une autre application, elle-même dérivée d’un tronc commun. Le chercheur estime que cette base équipe l’essentiel du segment d’entrée de gamme. Une seule faiblesse de conception couvre donc une très large part du marché, sous des marques différentes.
• Le problème est public depuis trois ans. Des signalements existent, accessibles à tous, sans réponse des fabricants.

La conclusion est inhabituelle et il faut l’énoncer telle quelle : la seule mesure corrective disponible est de ne plus utiliser l’appareil. Il n’y a pas de version à installer, pas de réglage à durcir, pas de contournement.

Ce qu’on en retient chez Humanix

• L’absence de chemin de mise à jour est en soi une vulnérabilité critique, et c’est la seule qu’on puisse évaluer avant l’achat. Les deux questions à poser à un fournisseur, pour un objet à vingt euros comme pour un équipement industriel : par quel mécanisme diffusez-vous un correctif, et pendant combien d’années ? Sans réponse claire, vous n’achetez pas un produit, vous achetez une dette dont vous ne connaissez pas l’échéance.
• Un canal public utilisé comme canal de commande est un motif à traquer. Ici c’est l’advertising Bluetooth, ailleurs ce sera un sujet de messagerie sans authentification, un port ouvert qui accepte des ordres, une file de tâches lisible par tous. La règle est la même partout : si le support est public, la commande doit être signée, faute de quoi il n’y a pas de contrôle d’accès du tout.
• Le code partagé transforme un défaut en défaut de marché. Quand une même base équipe des dizaines de marques, la question n’est plus « ce produit est-il sûr » mais « d’où vient sa pile logicielle, et qui la maintient ». C’est une question de chaîne d’approvisionnement, y compris sur des produits bon marché.
• La portée radio redéfinit le périmètre, encore une fois. Comme pour la passerelle d’éclairage compromise par Zigbee, la frontière de confiance n’est ni le mur ni le pare-feu : c’est le rayon d’émission. Tout ce qui parle en radio dans vos locaux mérite d’être inventorié.
• La gravité ne se mesure pas au prix de l’appareil. Vingt euros de matériel peuvent produire une atteinte à la vie privée qu’aucune fuite de base de données n’égale, parce que la donnée en jeu est intime et le contrôle, physique. C’est un excellent exemple à utiliser en sensibilisation, à condition de le traiter sérieusement.
• La réglementation avance dans la bonne direction. Le règlement européen sur la cyberrésilience imposera aux fabricants de produits comportant des éléments numériques de traiter les vulnérabilités et de fournir des mises à jour de sécurité pendant une période de support définie. Des produits comme celui-ci, sans aucun mécanisme de correction, deviendront difficiles à commercialiser tels quels.

Note. Compte-rendu, à visée pédagogique, d’une intervention courte présentée lors de la session de rumps de BarbHack 2026. Nous décrivons la nature de la faiblesse et ses conséquences, pas la façon de l’exploiter : la structure des commandes et les valeurs permettant de piloter un appareil ne figurent pas dans cet article, et n’y figureront pas. Prendre le contrôle d’un appareil sans le consentement de la personne qui l’utilise est illicite, et ne relève pas seulement du droit de l’informatique. Les faiblesses décrites sont publiques depuis plusieurs années et concernent des produits sans mécanisme de mise à jour ; il n’existe pas de correctif à attendre. Onzième volet de notre couverture de l’événement. Des objets communicants dans vos locaux, et aucun inventaire des ondes qui en sortent ? Contactez-nous.