Point sur la sécurité concernant les systèmes de diagnostic à distance Yarbo

Je vous écris directement car les problèmes soulevés dans le récent signalement de sécurité méritent une réponse directe, et non une réponse institutionnelle.

Le 7 mai 2026, le chercheur en sécurité Andreas Makris a publié un rapport détaillé identifiant de graves vulnérabilités dans les systèmes de diagnostic à distance, de gestion des identifiants et de traitement des données de Yarbo. Les principales conclusions techniques sont exactes. Je tiens à remercier M. Andreas Makris pour son travail d'identification de ces problèmes et pour sa persévérance à les porter à notre attention. Je reconnais également que notre réponse initiale n'a pas suffisamment pris en compte la gravité des problèmes qu'il a identifiés. En tant que cofondateur, je suis responsable de ce qui a été livré avec nos produits, et je suis responsable de la réponse apportée.

Nos équipes d'ingénierie, de produit, juridique et de support client travaillent en priorité à la résolution de ces problèmes. Je vous donne ici mon compte rendu de ce qui a été découvert, de ce que nous avons déjà corrigé, de ce que nous sommes en train de corriger et de ce que nous nous engageons à changer dans notre façon de fonctionner à l'avenir.

D'après notre examen préliminaire, les problèmes sont principalement liés à des choix de conception historiques dans certaines parties des systèmes de diagnostic à distance, de gestion des accès et de traitement des données de Yarbo.

Pour être plus précis, certaines fonctionnalités héritées d'assistance et de maintenance n'offraient pas aux utilisateurs une visibilité ou un contrôle suffisants, et certains mécanismes d'authentification et de gestion des identifiants ne répondaient pas aux normes de sécurité que nous attendons des produits d'aujourd'hui.

Nous avons également identifié des domaines dans lesquels les autorisations d'accès, les configurations des systèmes backend et les flux de données entre les appareils et les services cloud nécessitent des protections renforcées et des contrôles plus stricts.

Nous reconnaissons la gravité de ces problèmes et les inquiétudes qu'ils ont pu susciter chez nos clients et notre communauté. Nous vous présentons nos sincères excuses pour les répercussions de cette situation, et nous nous engageons à y remédier de manière transparente et responsable.

Mesures déjà prises et travaux en cours

Nous renforçons la sécurité du système en réduisant les chemins d'accès hérités, en resserrant les autorisations et en évoluant vers des identifiants au niveau des appareils entièrement vérifiables. Afin de clarifier l'avancement de nos mesures correctives, nous distinguons les actions déjà mises en œuvre des travaux en cours.

Mesures que nous avons déjà entreprises

  1. Nous avons temporairement désactivé les tunnels de diagnostic à distance concernés afin de réduire le risque d'accès non autorisé.
  2. Nous avons réinitialisé les mots de passe root des appareils afin de bloquer temporairement le risque lié au partage d'identifiants identifié et d'empêcher toute aggravation du problème.
  3. Nous avons fermé ou restreint certains points de terminaison de requête d'état et de rapport non authentifiés.
  4. Nous avons commencé à réduire les chemins d'accès hérités inutiles et à renforcer les autorisations au niveau du backend.

Aspects sur lesquels nous travaillons actuellement

  1. Nous mettons en place un modèle de diagnostic à distance basé sur une liste blanche, autorisé par l'utilisateur et vérifiable. La première phase devrait être achevée d'ici une semaine. Une fois mis en place, l'accès au diagnostic à distance sera limité au personnel interne autorisé de l'entreprise, ne pourra être utilisé qu'après obtention de l'autorisation de l'utilisateur et fera progressivement l'objet d'un journal d'audit.
  2. Nous utilisons les mises à jour OTA pour faire évoluer la rotation des identifiants et les mécanismes d'identifiants indépendants au niveau des appareils, en remplaçant progressivement l'ancien modèle de mot de passe partagé. À l'avenir, chaque appareil utilisera ses propres identifiants indépendants afin d'empêcher qu'un appareil affecté n'ait un impact sur l'ensemble du parc.
  3. Nous développons et testons un service de gestion des identifiants pour robots afin que les mots de passe des appareils ne soient plus codés en dur dans le micrologiciel, les scripts ou les bases de données. Les identifiants seront plutôt générés dynamiquement en fonction de l'identité de l'appareil. L'accès OPS enregistrera également le visiteur, le motif de l'accès, l'ordre de travail et l'horodatage.
  4. Nous renforçons la sécurité d'autres services d'authentification. Ces corrections sont actuellement en phase de test et seront déployées via les prochaines mises à jour OTA.
  5. Nous ajustons les autorisations par sujet afin de réduire l'accès partagé au niveau du parc, de limiter la portée de chaque identifiant et d'établir des limites plus strictes autour des commandes de contrôle.
  6. Nous testons des mesures de nettoyage qui incluent la suppression des scripts de rapport inutiles, des dépendances héritées des services cloud, des agents tiers et des configurations de secours DNS non essentielles afin de réduire les flux de données qui ne sont pas clairement visibles pour les utilisateurs. Ces modifications seront déployées via de futures mises à jour OTA une fois les tests terminés.
Les serveurs historiques et les canaux d'accès hérités continueront d'être supprimés progressivement dans le cadre de ce processus de remédiation.

Avis aux utilisateurs

Nous accélérons également les mises à jour de sécurité OTA et la mise en place de protections supplémentaires côté serveur. La première vague de mises à jour devrait commencer à être déployée d'ici une semaine. Important : Une mise à jour de sécurité du micrologiciel est en cours de déploiement sur tous les appareils Yarbo. Pour recevoir cette mise à jour, veuillez connecter votre Yarbo à Internet. Une fois la mise à jour appliquée, vous pourrez revenir à vos paramètres réseau préférés. Si vous préférez garder votre appareil hors ligne pendant ce temps, vous pouvez le faire sans que cela n'affecte votre garantie ou votre couverture de service. Nous vous informerons lorsque la mise à jour sera prête afin que vous puissiez vous connecter brièvement pour l'appliquer.

Améliorations continues de la sécurité

Cette initiative de correction ne se limite pas à un simple correctif ou à une mise à jour logicielle. Nous utilisons ce processus pour renforcer l'architecture de sécurité à long terme et les normes de gouvernance qui sous-tendent nos produits.

Ces efforts comprennent le renforcement des normes de contrôle d'accès, l'amélioration des modèles d'authentification et d'autorisation, l'augmentation de la visibilité et du contrôle des utilisateurs sur les fonctionnalités de diagnostic à distance, ainsi que la réduction supplémentaire des mécanismes de support hérités inutiles dans les systèmes et infrastructures concernés.

Nous continuerons également à étendre nos processus internes d'examen de la sécurité, de correction et de gouvernance afin de soutenir des pratiques de sécurité plus solides à long terme à l'avenir. Notre objectif est de garantir que la sécurité, la transparence et la confiance des utilisateurs soient intégrées dans les fondements des futurs systèmes et services de Yarbo.

Précisions concernant certains éléments signalés

Certains éléments du rapport externe décrivent de réels problèmes de sécurité, tandis que d'autres nécessitent des clarifications car ils ne s'appliquent pas aux produits Yarbo actuellement commercialisés ou ne constituent pas des vulnérabilités de sécurité indépendantes.

Redémarrage automatique et persistance du FRP

Le rapport mentionne également que le client FRP peut redémarrer via des tâches planifiées ou des mécanismes de récupération de service. Nous reconnaissons que cela peut rendre plus difficile la désactivation manuelle des canaux d'accès à distance, mais le problème principal réside dans l'existence, les autorisations et la politique du tunnel distant lui-même. Nos mesures correctives visent à désactiver ou à restreindre les tunnels, à mettre en place des listes d'autorisation et des mécanismes d'audit, ainsi qu'à supprimer les chemins d'accès à distance persistants inutiles.

Surveillance des fichiers et auto-récupération

Le rapport mentionne un comportement de surveillance des fichiers permettant de restaurer certains fichiers ou services supprimés. Ce mécanisme a été initialement conçu comme une mesure de fiabilité défensive visant à empêcher la suppression ou la corruption accidentelle de fichiers de service critiques. En soi, il n'était pas destiné à fonctionner comme une fonctionnalité d'accès à distance.

Nous reconnaissons toutefois qu'un mécanisme qui rend difficile la suppression par les utilisateurs de composants liés à l'accès à distance peut susciter des inquiétudes sur le plan de la confiance. Nous examinons actuellement quels fichiers doivent continuer à être protégés et quels composants doivent être supprimés, simplifiés ou placés sous le contrôle de l'utilisateur.

Configurations historiques ou hors production

Certaines constatations concernent l'infrastructure historique, les services cloud hérités, les personnalisations spécifiques aux revendeurs ou les configurations de test internes. Celles-ci font toujours l'objet d'un examen et sont nettoyées si nécessaire, mais elles doivent être distinguées du comportement par défaut des appareils de production actuellement commercialisées.

Notre objectif est d'être précis : nous ne minimiserons pas les problèmes de sécurité confirmés, mais nous souhaitons également que les utilisateurs comprennent quels résultats s'appliquent aux appareils de production, lesquels s'appliquent uniquement à des configurations historiques ou personnalisées, et lesquels sont traités dans le cadre d'efforts de renforcement plus larges.

Signalements de sécurité
Afin d'améliorer les signalements de sécurité à l'avenir, nous lançons un canal dédié aux réponses de sécurité et un processus de contact pour les signalements de vulnérabilité et la divulgation responsable : security@yarbo.com

Le public pourra également trouver nos coordonnées de sécurité sur la page Yarbo Security Center dans la rubrique « Explorer » de notre site web officiel.

Nous étudions également la possibilité de mettre en place un programme officiel de prime aux bogues dans le cadre de nos initiatives de sécurité à long terme plus larges.

Nous apprécions le rôle que jouent les chercheurs en sécurité indépendants dans l'identification responsable des problèmes potentiels, et nous restons déterminés à renforcer la sécurité, la transparence et la fiabilité de nos produits.

À mesure que l'enquête et les travaux de correction se poursuivent, je vous tiendrai informés dès que de nouvelles informations seront disponibles.

Kenneth Kohlmann
Co-fondateur, Yarbo
New York