Ce qu’il faut retenir
Peplink a publié un avis de sécurité sur une faille touchant certains routeurs et équipements de connexion Internet (gammes Balance, MAX et FusionHub). Un utilisateur déjà connecté, avec un compte admin ou utilisateur, pourrait contourner les protections et prendre le contrôle complet de l'équipement. Cette faille n'est exploitable que si l'accès en ligne de commande (SSH et console) est activé, ce qui n'est pas le cas par défaut. Des correctifs et une mesure de contournement sont disponibles. La source consultée ne précise ni score de gravité ni exploitation active.
Qui est concerné ?
| Constructeur | Peplink |
| Versions concernées | Information non précisée dans la source consultée. |
| Source | Avis officiel Peplink |
Les organisations utilisant les produits Peplink Balance (y compris la variante MediaFast), MAX et FusionHub avec un firmware de version 8.3.0 à 8.5.4. Le risque concerne en pratique les équipements où le paramètre [CLI SSH & Console] est activé. Le niveau d'exposition à Internet n'est pas précisé : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : la faille est une injection de commande (CWE-78, associée à CWE-732), qui permet à un utilisateur authentifié d'obtenir un accès root, c'est-à-dire le plus haut niveau de contrôle sur le système du routeur. Score CVSS et identifiant CVE : Information non précisée dans la source consultée. Impact métier : un routeur compromis pourrait affecter la connectivité et la sécurité du réseau qu'il dessert. L'attaquant doit toutefois disposer d'un compte valide et l'accès SSH/console doit être activé, ce qui limite la portée du risque. Exploitation active : Information non précisée dans la source consultée.
Priorité de traitement
Justification : Une exploitation réussie donne un contrôle complet (root) sur un équipement réseau, et des correctifs ainsi qu'un contournement simple existent. En revanche, la faille exige un compte authentifié et un paramètre désactivé par défaut, et la source ne signale aucune exploitation active ni score CVSS. La priorité est donc élevée pour les équipements où l'accès SSH/console est activé, et peut être plus basse pour les autres.
Que faut-il faire ?
- Vérifier si le paramètre [CLI SSH & Console] est activé sur les équipements Peplink Balance (y compris MediaFast), MAX et FusionHub.
- Mesure de contournement officielle : désactiver manuellement le paramètre [CLI SSH & Console] s'il est activé (il est désactivé par défaut).
- Mettre à jour le firmware vers la version 8.6.0 GA, ou vers les versions de maintenance 8.5.5 ou 8.3.2 qui contiennent également le correctif.
Recommandation Chrysalead
Identifier rapidement les équipements Peplink concernés et vérifier l'état du paramètre [CLI SSH & Console]. Le désactiver si son usage n'est pas indispensable, puis planifier la mise à jour vers une version corrigée (8.6.0 GA, 8.5.5 ou 8.3.2) selon le calendrier de maintenance.
Détails techniques
| CVE | Peplink Security Advisory: Balance / MAX / FusionHub Firmware (up to 8.5.4) – SSH CLI Command Injection Vulnerability (CWE-78 / CWE-732) |
| Constructeur | Peplink |
| Score CVSS | Information non précisée dans la source consultée. |
| Exploitation connue | Information non précisée dans la source consultée. |
| Extrait de la source (en anglais) | Background Recently, a trusted security research group informed us of a vulnerability affecting Peplink devices running firmware versions 8.5.1 through 8.5.4. After further testing, we discovered the earlier firmware version (8.3.0) is affected too. If [CLI SSH & Console] access is enabled, an authenticated user logged in with an admin or user account can append malicious parameters during authentication (command injection) to gain root-level access to the router OS. Products… |
- Injection de commande (CWE-78)
- Technique consistant à glisser des instructions non prévues dans une saisie, afin que le système les exécute comme si elles étaient légitimes.
- Accès root
- Niveau de droits le plus élevé sur un système, permettant de tout lire, modifier ou configurer.
- CLI SSH & Console
- Mode d'administration à distance de l'équipement par lignes de commande, sans interface graphique. Il est désactivé par défaut sur les produits concernés.
- Firmware
- Logiciel interne qui fait fonctionner un équipement réseau, comme un routeur.
- Workaround (contournement)
- Mesure temporaire qui réduit le risque sans installer de correctif, ici la désactivation du paramètre [CLI SSH & Console].
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.