Très utilisées dans le domaine de la domotique et des objets connectés, les puces ESP32 sont aujourd’hui sous le feu des projecteurs pour une raison que son fabricant, Espressif, aurait préféré passer sous silence. En effet, des experts en cybersécurité y ont récemment découvert une faille de sécurité critique capable de compromettre plus d’un milliard d’appareils à travers le monde. Une vulnérabilité qui pose de sérieux problèmes pour la sécurité des systèmes connectés et soulève des questions sur la protection des données personnelles des utilisateurs. Décryptage de cette menace et de ses implications.
Espressif ESP32 : une puce omniprésente en domotique
Développées par Espressif Systems, les puces ESP32 sont des microcontrôleurs Wi-Fi et Bluetooth très prisés dans l’univers de la domotique, à tel point que votre maison connectée en regorge très probablement. Il faut dire que leur faible coût, leurs performances et leur faible consommation d’énergie en font un choix de prédilection pour les fabricants d’objets connectés.
On retrouve ainsi des ESP32 dans une multitude d’appareils domotiques tels que nos :
- Enceintes connectées : les appareils Amazon Echo et Google Nest en utilisent ;
- Caméras de surveillance ;
- Systèmes d’alarme et capteurs de mouvement ;
- Robots aspirateurs ou tondeuses ;
- Thermostats intelligents ;
- Éclairages connectés ;
- Prises intelligentes et relais Wi-Fi : ces appareils ont presque systématiquement des ESP32.
Il y a un peu plus d’un an, Espressif se vantait ainsi d’en avoir vendu plus d’un milliard, en particulier à des fabricants de systèmes domotiques tels que Tuya, Sonoff, Shelly, SwitchBot, Xiaomi, Yeelight, Philips Hue et WiZ, pour ne citer qu’eux. Et si, en plus, vous avez des enceintes connectées Amazon Echo ou Google Nest, alors vous avez forcément des ESP32 chez vous. Une omniprésence qui pourrait en faire une cible privilégiée pour les cybercriminels…
Une faille critique et des risques majeurs
La semaine dernière, lors de la conférence RootedCON 2025 qui se déroulait à Madrid, des chercheurs de Tarlogic Security, une société espagnole spécialisée en cybersécurité, ont révélé une faille critique affectant les puces ESP32. Cette vulnérabilité permettrait à un attaquant d’exécuter du code malveillant à distance, ouvrant ainsi la voie à de potentielles exploitations dangereuses.
Pour prouver la faisabilité de l’attaque, les chercheurs ont conçu un pilote Bluetooth USB, indépendant du matériel et compatible avec plusieurs plateformes, leur permettant d’accéder aux flux Bluetooth et d’identifier des commandes cachées dans le firmware Bluetooth de l’ESP32. Ils ont ainsi identifié 29 commandes non documentées sous le code d’opération 0x3F qui permettent notamment la manipulation de la mémoire, l’usurpation d’adresse MAC, ou encore l’injection de paquets Bluetooth.
Selon les chercheurs de Tarlogic, les principaux risques sont :
- Prise de contrôle à distance : un hacker pourrait manipuler un appareil connecté, le transformant potentiellement en outil d’espionnage ou en relais pour attaquer d’autres dispositifs du réseau.
- Vol de données sensibles : certaines applications domotiques stockent des informations personnelles, voire des accès à d’autres appareils connectés (caméras, serrures intelligentes, etc.).
- Attaques de type botnet : pour mener des attaques massives sur des infrastructures numériques en utilisant un réseau d’objets connectés compromis.
Espressif n’ayant jamais publié de documentation sur ces commandes, il n’est pour l’instant pas possible de savoir si elles étaient volontairement inaccessibles ou simplement oubliées. Rassurez-vous, cependant, car l’attaque la plus probable nécessite un accès physique au matériel, par exemple via le port USB, ce qui rend le piratage des appareils beaucoup plus complexe. Cependant, et c’est peut-être là le plus inquiétant, cette faille pourrait être exploitée pour cacher un APT (Advanced Persistent Threat) dans la mémoire de l’ESP32 et lancer des attaques Bluetooth ou Wi-Fi contre d’autres appareils. Autrement dit, un seul appareil compromis pourrait suffire à en exploiter d’autres…
La sécurité de nos maisons connectées en jeu
Malheureusement, cette faille sur les puces ESP32 met en lumière une problématique récurrente dans le monde de la domotique : la cybersécurité. Avec l’essor des objets connectés, les vulnérabilités de ce type pourraient potentiellement avoir des conséquences dramatiques si elles étaient exploitées à grande échelle. Pour vous protéger, vous devez donc vous assurer que vos équipements reçoivent bien les mises à jour de sécurité et privilégier des marques sérieuses qui, même si elles ne sont pas infaillibles, vous proposeront généralement des correctifs.
En effet, si Espressif n’a pas encore officiellement réagi à la découverte des chercheurs, l’entreprise chinoise a cependant annoncé une mise à jour du firmware. Le problème réside maintenant dans sa diffusion : tous les fabricants et utilisateurs ne procéderont pas forcément à l’installation du correctif, laissant de nombreux appareils exposés…
Suivez-nous sur Google Actualités
