CVE-2026-41446 illustre un anti-pattern récurrent dans l'IoT professionnel : des endpoints HTTP de diagnostic non documentés, dont la seule "authentification" repose sur l'adresse MAC et un service tag… tous deux imprimés en clair sur l'étiquette physique de l'appareil. Affectant les onduleurs/PDU réseau Snap One WattBox 800 et 820 sur firmware antérieur à 2.10.0.0, cette vulnérabilité permet à toute personne ayant accès visuel ou photographique à l'étiquette d'exécuter des commandes arbitraires en root à distance.
Détails techniques
Les WattBox sont des PDU (Power Distribution Units) administrables via réseau, largement utilisés dans les baies de brassage AV/IT, les data centers d'entreprise, et les installations résidentielles haut de gamme (intégration crestron/lutron). Le firmware embarque des endpoints HTTP de diagnostic non documentés, accessibles sur le port d'administration standard, dont l'authentification ne repose que sur deux valeurs :
- L'adresse MAC de l'équipement (12 caractères hex)
- Le service tag (chaîne courte alphanumérique)
Ces deux valeurs sont imprimées en plaintext sur l'étiquette physique apposée sur l'équipement, et apparaissent souvent sur :
- Les photos de baies de brassage publiées sur LinkedIn / forums spécialisés
- La documentation interne mal protégée (Confluence, Sharepoint sans ACL strictes)
- Les stickers laissés sur les emballages dans les zones de réception
- Les rapports d'inventaire transmis par mail aux clients/intégrateurs
L'exploitation est donc possible non seulement par un attaquant ayant un accès physique, mais aussi par tout attaquant disposant d'une photo lisible de l'étiquette.
Endpoints concernés
Les détails exacts des endpoints n'ont pas été publiés intégralement par Snap One, mais l'avis indique qu'ils permettent l'exécution de commandes arbitraires en tant que root sur l'OS embarqué.
Caractéristiques
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-798 (Use of Hard-coded Credentials) + CWE-489 (Active Debug Code) |
| Authentification | Aucune au sens classique — informations imprimées physiquement |
| Privilèges obtenus | root sur le firmware |
Produits et versions affectés
| Produit | Versions firmware affectées | Version corrigée |
|---|---|---|
| WattBox 800 series | < 2.10.0.0 | 2.10.0.0 |
| WattBox 820 series | < 2.10.0.0 | 2.10.0.0 |
Les autres séries WattBox (150, 250, 700) ne sont pas mentionnées dans l'avis officiel — vérifiez auprès de l'éditeur si vous opérez ces modèles.
Exploitation et impact
Scénarios d'attaque réalistes
Scénario 1 — Photo de baie
Un sous-traitant publie une photo d'avant/après lors d'une intervention dans la baie d'un client. L'étiquette du WattBox est lisible. Un attaquant identifie ensuite l'IP de l'équipement (Shodan, scan ciblé sur le secteur de l'organisation) et exploite la backdoor.
Scénario 2 — Documentation interne fuitée
Un inventaire d'équipements est exporté en CSV avec les MAC et service tags pour la facturation. Le fichier finit sur un Confluence ouvert ou un partage SMB mal protégé. Toute personne y accédant peut exploiter les WattBox correspondants.
Scénario 3 — Accès physique éphémère
Un visiteur ou prestataire avec accès très limité (par exemple personnel de ménage) prend une photo des étiquettes en quelques secondes. Aucune autre interaction nécessaire.
Impact
- Coupure d'alimentation : un attaquant peut couper / redémarrer les prises commandées par le WattBox, provoquant une perte de service sur les équipements alimentés (serveurs, switches, sonorisation, vidéosurveillance)
- Persistance : modification du firmware, installation d'implants
- Pivot LAN : le WattBox est typiquement sur le réseau de management, point de pivot privilégié
- Sabotage : redémarrage malicieusement chronométré pour maximiser l'impact business
Détection et IOC
Logs réseau
- Connexions HTTP entrantes vers le port d'administration des WattBox depuis des IP externes
- Requêtes vers des paths non documentés (à comparer aux logs d'utilisation normale)
- Trafic sortant inhabituel depuis l'IP du WattBox (les PDU ne devraient communiquer qu'avec le serveur de monitoring)
Logs WattBox
Si la version firmware le permet, activez le journal d'audit et exportez-le vers un SIEM. Indicateurs :
- Commandes de redémarrage / coupure non corrélées avec le calendrier de maintenance
- Modifications de configuration en dehors des fenêtres de changement
- Accès depuis IPs non whitelistées
Vérification physique
Auditez la chaîne de garde des étiquettes :
- Combien de personnes ont eu accès aux étiquettes depuis l'installation ?
- Existe-t-il des photos historiques d'inventaire avec l'étiquette visible ?
- Le service tag a-t-il été partagé par mail / outil de ticketing ?
Mitigation et patch
Action immédiate : mettre à jour
Le firmware 2.10.0.0 ou supérieur corrige la vulnérabilité. Procédure générique :
- Téléchargez le firmware sur le portail Snap One
- Connectez-vous à l'interface web du WattBox
- Maintenance → Firmware → Upload firmware → redémarrage
Workaround si la mise à jour n'est pas immédiate
- Isolation réseau : placez tous les WattBox sur un VLAN management strict, sans accès Internet, accessible uniquement depuis le serveur de monitoring
- ACL d'accès : limitez l'accès au port HTTP d'administration aux seules IPs du serveur de monitoring
- Reset du service tag : si l'éditeur le permet via la nouvelle version, regénérez tous les service tags après mise à jour (les anciennes valeurs photographiées deviennent obsolètes)
Hardening durable
- Masquer ou retirer les étiquettes physiques ou recouvrir les valeurs sensibles (MAC + tag) avec une étiquette opaque après installation, en conservant une copie sécurisée dans la documentation hors ligne
- Réviser les politiques de prise de vue dans les zones techniques sensibles (interdiction de photo, signalement obligatoire)
- Auditer périodiquement les exports d'inventaire pour s'assurer qu'ils ne contiennent plus les service tags
Pourquoi surveiller en continu votre parc IoT
L'IoT professionnel (PDU, onduleurs, équipements AV-over-IP, contrôleurs HVAC) est massivement présent dans les infrastructures d'entreprise mais quasiment absent des inventaires de vulnérabilités traditionnels. Les CVE comme CVE-2026-41446, exploitant des designs douteux plutôt que des bugs classiques, sont précisément celles que les scanners génériques manquent.
Avec cveo.tech, inventoriez vos équipements IoT et infrastructure au même titre que vos serveurs critiques et soyez alerté automatiquement dès qu'une CVE majeure cible une de vos versions exactes — y compris sur des éditeurs spécialisés que vos outils de scan classiques ignorent.