Vulnerabilitate Broadcom WPS fără patch oferă acces root atacatorilor din apropiere, pe milioane de routere

O vulnerabilitate de corupere a memoriei în codul Wi-Fi Protected Setup (WPS) al Broadcom permite oricui se află în raza semnalului radio să preia controlul complet al unui router afectat — fără parola Wi-Fi, fără butonul de asociere, fără autentificare. Nu există CVE, nu există un aviz oficial al producătorului și, pentru o întreagă familie de cipuri mai vechi, nu va exista niciodată o remediere.

Ce s-a întâmplat

Cercetătorul în securitate Quentin Kaiser și-a publicat descoperirile pe 16 octombrie. Problema apare în modul în care implementarea WPS a Broadcom reasamblează mesajele de configurare fragmentate. Trimițând prin aer fragmente special construite, un atacator poate corupe memoria routerului, poate extrage date din ea și, în final, poate rula propriul cod cu drepturi de root.

Kaiser a demonstrat atacuri funcționale asupra gateway-urilor casnice furnizate de operatori din Belgia:

• Orange Belgium (Askey TCG3000): exploit-ul a extras parola Wi-Fi din configurația dispozitivului, a trimis-o înapoi prin aer și a folosit-o pentru a se conecta la rețea.
• Proximus (Sagemcom BBOX3V+): exploit-ul a deschis un shell la distanță transmis exclusiv prin cadre Wi-Fi — fără niciun server extern.

Și echipamentele VOO s-au dovedit vulnerabile; cele Telenet ar putea fi afectate, dar nu au putut fi testate. Ambele demonstrații nu au necesitat autentificare și, potrivit cercetătorului, funcționează de la distanță, nu doar din imediata apropiere. Nu au fost raportate atacuri reale — exploit-urile funcționale aparțin cercetătorului.

De ce contează

Codul WPS al Broadcom este integrat în routere și puncte de acces de la zeci de producători, iar Kaiser estimează că milioane de dispozitive din întreaga lume sunt expuse. Cipurile afectate se împart în două grupe:

• Cipuri mai vechi bazate pe eCos (BCM3380, BCM3383, BCM33834): nu există o remediere utilizabilă. Kaiser numește situația un „forever day" — o vulnerabilitate care nu va fi corectată niciodată pe aceste dispozitive.
• Cipuri mai noi bazate pe Linux (BCM3390, BCM65xx, BCM68xx): pot fi remediate, dar doar dacă producătorii trec la o altă stivă Wi-Fi (hostapd).

O listă mai largă de dispozitive — de la puncte de acces Cisco pentru firme mici până la routere Huawei și ARRIS — amestecă intrări confirmate și neconfirmate, unele marcate doar drept „probabil vulnerabile" de verificări automate, așa că trebuie tratată ca punct de plecare, nu ca verdict.

Istoricul dezvăluirii este lecția cea mai importantă. Codul vulnerabil datează cel puțin din 2010. Kaiser spune că Broadcom a livrat o remediere incompletă în 2018 și a recomandat clienților să treacă la hostapd, dar nu a înregistrat niciodată un CVE și nu a emis un anunț public. Deoarece Broadcom este propria autoritate de numerotare CVE (CNA), o solicitare prin CERT/CC a fost închisă în aceeași zi. Fără un identificator, majoritatea producătorilor și a echipelor de apărare nu au avut ce urmări — ceea ce explică de ce atât de multe dispozitive nu au fost niciodată corectate.

Modelul de atac merită și el atenție: compromiterea unei rețele dintr-o parcare sau o clădire vecină, nu prin internet, este o tehnică folosită deja de grupări susținute de state. Un gateway de acasă sau de la o filială este un punct de intrare ieftin și discret.

Ce trebuie făcut

• Inventariați echipamentele bazate pe Broadcom. Identificați routerele, gateway-urile și punctele de acces din birouri, filiale și locuințele angajaților care lucrează remote ce folosesc familiile de cipuri de mai sus. Întrebați direct furnizorul de internet și producătorii dacă dispozitivele lor sunt afectate.
• Folosiți instrumentele de triere ale cercetătorului. Kaiser a publicat reguli YARA care detectează codul vulnerabil în firmware-ul extras, plus un script care ascultă un punct de acces activ și raportează dacă pare vulnerabil. O potrivire este un motiv de investigare suplimentară, nu o confirmare — și dispozitivele corectate pot declanșa regulile.
• Planificați înlocuirea dispozitivelor bazate pe eCos. Nu există un patch de așteptat și nicio setare cunoscută care să blocheze atacul. Dezactivarea WPS este o măsură de igienă rezonabilă, dar nu a fost confirmată ca soluție în acest caz.
• Izolați ce nu puteți înlocui încă. Tratați rețeaua Wi-Fi a dispozitivelor afectate ca nesigură: segmentați-o față de sistemele sensibile și păstrați accesul critic în spatele unui VPN și al autentificării puternice.
• Urmăriți actualizările producătorilor pentru modelele bazate pe Linux care trec la hostapd.

Atacurile de proximitate ca acesta apar rar într-o scanare din internet, motiv pentru care echipa noastră de testare de penetrare include evaluări wireless la fața locului — cartografiind punctele de acces și gateway-urile din jurul sediului și verificându-le pentru vulnerabilități cunoscute precum aceasta, înainte ca un atacator din parcare să o facă.

Raportat inițial de The Hacker News; cercetare realizată de Quentin Kaiser.