IT / Télécom
Commutateurs D-Link DGS-3130 : des failles sans correctif, à vous de fermer la porte
Un commutateur administrable, on l’installe, on le configure, on le range dans la baie… et on l’oublie. C’est pourtant lui qui transporte les flux des caméras, des UTL de contrôle d’accès et des automates. D-Link vient de prévenir que sa gamme DGS-3130, des commutateurs Gigabit niveau 3 empilables que l’on trouve chez les distributeurs français, souffre de plusieurs failles sans correctif disponible. Autrement dit : c’est à nous, intégrateurs et exploitants, de fermer la porte en attendant.
Ce que l’on sait
Selon BleepingComputer, qui a relayé l’avis D-Link SAP10523 le 6 novembre 2026, le modèle explicitement cité est le DGS-3130-30TS, sur plusieurs versions de firmware. Les failles ont été signalées par un ingénieur réseau, Giresh Kumar Enugu. Elles touchent principalement le D-Link Discovery Protocol (DDP), le protocole de découverte maison du constructeur, avec des défauts d’authentification, de contrôle d’accès et de traitement des données. Pas encore de numéro CVE, pas de date de firmware correctif.
Les conséquences possibles décrites sont sérieuses pour un équipement de cœur de réseau :
- récupération d’informations sensibles, dont les communautés SNMP ;
- modification non autorisée des identifiants ou de la configuration ;
- interruptions de service et redémarrages du commutateur.
D-Link indique aussi examiner d’autres plateformes de commutation et plusieurs mécanismes du firmware : configuration de sécurité SSH, protection des identifiants, chiffrement du firmware et clés cryptographiques embarquées. Le périmètre peut donc encore s’élargir.
Pourquoi ça me concerne sur un réseau de sûreté
Un commutateur qui redémarre, ce sont des caméras qui décrochent, des enregistrements troués et des UTL qui passent en mode dégradé. Un commutateur dont on peut modifier la configuration, c’est pire : un VLAN de vidéo qui fuit vers le réseau bureautique, un port miroir discret, ou une porte ouverte vers les équipements que l’on croyait isolés. La gamme DGS-3130 existe aussi en versions PoE : l’avis ne les cite pas nommément à ce stade, mais je les surveillerais de près, car ce sont elles qui alimentent les caméras et les UTL dans les coffrets d’étage.
En attendant le firmware : les mesures de D-Link
- Désactivez le DDP, identifié comme principal vecteur d’attaque. Sur un réseau de sûreté, il n’a de toute façon rien à faire en production.
- Supprimez les communautés SNMP inutiles ou par défaut (« public », « private »…). Si votre supervision a besoin de SNMP, passez en SNMPv3 avec authentification.
- Cantonnez l’administration (SSH, interface web, SNMP) à un réseau de gestion isolé et à quelques postes d’administration désignés.
- Sauvegardez la configuration hors ligne, pour pouvoir remonter un commutateur rapidement s’il est altéré.
- Surveillez les journaux : changement de configuration inattendu, redémarrage non sollicité ou retour aux paramètres d’usine doivent déclencher une alerte.
Mon avis
Je salue le fait que D-Link prévienne avant d’avoir le correctif : c’est inconfortable, mais c’est honnête, et les contournements proposés sont de bon sens. Ce qui me fait tiquer, c’est que ces protocoles de découverte propriétaires restent activés par défaut sur des équipements professionnels. Ils facilitent la mise en service, puis restent ouverts pendant dix ans. Ma règle sur un réseau de sûreté : tout service qui ne sert pas en exploitation est coupé à la réception du chantier, et l’administration ne se fait que depuis un VLAN dédié. Si vos DGS-3130 respectent déjà cette règle, l’exposition est faible ; sinon, c’est l’occasion de reprendre la recette réseau. Et gardez un œil sur l’avis : quand le firmware sortira, il faudra planifier la mise à jour, idéalement commutateur par commutateur pour ne pas couper toute la vidéo d’un coup.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.