northwind-hub-2-v4.2.1.bin
Une faille critique dans les mises à jour, et une longue traîne de composants anciens.
214 composants trouvés. Onze sont signalés : un critique, trois élevés, quatre moyens, deux faibles et une simple remarque. L’appareil installe une mise à jour depuis n’importe quelle source où il peut la télécharger, et la bibliothèque de chiffrement ne reçoit plus de correctifs publics depuis 2023.
Les risques les plus élevés
- Critique
Les mises à jour s’installent sans que leur auteur soit vérifié
Le processus de mise à jour télécharge un fichier, puis l’installe. L’application n’a trouvé aucune vérification de signature entre les deux.
Modification suggérée: Signez chaque mise à jour avec une clé conservée hors ligne, placez la clé publique sur l’appareil et refusez toute mise à jour dont la signature ne correspond pas.
- Élevé
La bibliothèque de chiffrement ne reçoit plus de correctifs publics
OpenSSL 1.1.1 est en fin de vie depuis septembre 2023. Ses nouvelles vulnérabilités ne reçoivent plus de correctif public.
Modification suggérée: Passez à OpenSSL 3.0 ou plus récent, et mentionnez le changement dans vos notes de version.
- Élevé
L’application compagnon est signée avec un certificat de débogage
L’application Android livrée avec le firmware utilise une clé de signature de débogage, que n’importe qui peut copier.
Modification suggérée: Signez les versions de production avec votre propre clé, et gardez cette clé hors du serveur de compilation.
Liste des composants
10 composants affichés sur 214
| Composant | Version | État |
|---|---|---|
| OpenSSL | 1.1.1w | Risque élevé |
| Linux kernel | 5.10.110 | À mettre à jour |
| BusyBox | 1.36.0 | À mettre à jour |
| Dropbear SSH | 2022.83 | À mettre à jour |
| curl | 7.88.1 | OK |
| zlib | 1.2.11 | À mettre à jour |
| uhttpd | 2021-05-21 | À mettre à jour |
| Android companion app | 1.8.2 | Risque élevé |
| AWS IoT device SDK | 1.5.0 | À mettre à jour |
| WPA supplicant | 2.9 | À mettre à jour |
Carte de l’annexe I
Chacun des 22 points de l’annexe I reçoit un état, avec sa raison. En voici quatre.
- Partie I (2)(a)
- Aucune vulnérabilité exploitable connue
- Partiel
- Des failles connues dans 4 composants. Ne rien trouver n’est jamais une preuve : ce point ne peut donc être que partiel.
- Partie I (2)(c)
- Mises à jour de sécurité
- Partiel
- Un mécanisme de mise à jour existe, mais les mises à jour ne sont pas signées.
- Partie II (1)
- Liste des composants et vulnérabilités
- Prouvé
- Liste des composants établie à partir du fichier, en CycloneDX et SPDX.
- Partie II (5)
- Politique de divulgation coordonnée
- Ouvert
- Un fichier ne peut pas le montrer. Le dossier contient un modèle.
Dans le dossier documentaire
- Liste des composants : CycloneDX 1.5 et SPDX 2.3
- Index du dossier technique selon l’annexe VII, avec ce qu’il vous reste à ajouter
- Fiche de durée de support
- Guide de signalement selon l’article 14
- Liste de contrôle pour la déclaration UE de conformité
- Modèles de politique de gestion des vulnérabilités et de mise à jour
Une preuve technique, pas un certificat juridique.