Luka w układach Wi-Fi Broadcoma pozwala na RCE. Błąd jest znany od 16 lat, a podatnych może być miliony urządzeń

Badacz bezpieczeństwa Quentin Kaiser zaprezentował na konferencji Hexacon 2026 w Paryżu krytyczny błąd w oprogramowaniu konfiguracyjnym Broadcom odpowiadającym za obsługę funkcji Wi-Fi Protected Setup (WPS). Podatność pozostaje niezałatana od blisko 16 lat, a jej skuteczne wykorzystanie pozwala atakującemu na wykonanie dowolnego kodu z uprawnieniami roota. 

TLDR:

• Badacz bezpieczeństwa Quentin Kaiser zaprezentował praktyczne wykorzystanie błędu (buffer overflow) wykrytego w Wi-Fi Protected Setup (WPS) od Broadcom.
• W efekcie udało mu się odczytać hasło do Wi-Fi z pamięci urządzenia oraz wykonać dowolny kod z uprawnieniami roota.
• Aby atak miał szanse powodzenia, na urządzeniu musi być włączona funkcja WPS oraz atakujący musi znajdować się w zasięgu sieci Wi-Fi.
• Producent wie o błędzie co najmniej od 16 lat i do tej pory nie została wydana pełna poprawka.
• Luka nie otrzymała identyfikatora CVE mimo zgłoszenia do CERT. Broadcom, jako CNA (CVE Numbering Authority), odmówił przydzielenia identyfikatora.

Co istotne, atak nie wymaga znajomości hasła do Wi-Fi ani przechodzenia procedury parowania WPS. Wystarczy jedynie przebywać w zasięgu sieci bezprzewodowej.

Błąd występuje w autorskim mechanizmie Broadcom WPS. Oprogramowanie nieprawidłowo obsługuje proces składania pofragmentowanych pakietów konfiguracyjnych, w wyniku czego atakujący może doprowadzić do nadpisania obszarów pamięci routera (buffer overflow) przesyłając odpowiednio spreparowane ramki.

Na dowód swoich spostrzeżeń Kaiser przygotował dwa narzędzia (PoC) umożliwiające odczyt pamięci urządzenia oraz wykonanie na nim dowolnego kodu. Pokaz przeprowadził na domowych routerach stosowanych przez przez trzech belgijskich dostawców internetu. 

Na pierwszym z nich – Orange Belgium CPE (the ASKEY TCG3000) badacz odczytał hasło do Wi-Fi (PSK) bezpośrednio z pamięci urządzenia, a następnie wykorzystał je do automatycznego nawiązania połączenia z badaną siecią.

Drugie urządzenie – Proximus CPE (BBOX3V+ Sagemcom F@st) służyło do zademonstrowania zdalnego wykonania kodu (RCE) z uprawnieniami roota, bez potrzeby uwierzytelnienia.

Zaprezentowane ataki działają z pewnej odległości (w zasięgu fal radiowych). Badacz zaznaczył przy tym, że zademonstrowane PoC są jego autorskim rozwiązaniem i nie posiada on informacji o wykorzystaniu wykrytych podatności w rzeczywistych atakach.

Sprawa posiada długą historię. Podatny kod znajdował się w oprogramowaniu Broadcoma od około 2010 roku. Na poprawkę trzeba było poczekać aż do 2018 roku, chociaż nie pokrywała ona wszystkich przypadków. Bardziej należało ją potraktować jako tymczasowe rozwiązanie, z naciskiem na przejście na inny pakiet oprogramowania Wi-Fi (hostapd) pozbawiony powyższych luk. Co więcej, dla starszych układów opartych na systemie eCos nie wydano żadnej poprawki. Badacz określił tę sytuację jako forever day, czyli podatność, która pozostanie w urządzeniach na zawsze, czyniąc je trwale podatnymi na ataki.

Podatność do dziś nie otrzymała identyfikatora CVE. Kaiser przekazał, że Broadcom od dłuższego czasu jest świadomy błędów, jednak firma nie zdecydowała się na rejestrację CVE, ani na publiczne ujawnienie problemu. 

Co więcej, gdy sprawa została przekazana do CERT, zgłoszenie zostało zamknięte praktycznie tego samego dnia. Powołano się przy tym na fakt, że Broadcom posiada uprawnienia CNA (CVE Number Authority) dla własnych produktów i nie wyraził zgody na wydanie identyfikatora.

Taka sytuacja dobrze obrazuje problem, na który od dawna zwracają uwagę badacze. Producenci niechętnie łatają błędy w starym kodzie (legacy), a będąc podmiotem CNA mogą kontrolować przepływ informacji o wykrytych podatnościach. W ten sposób skutecznie blokują ich oficjalną rejestrację, niszcząc przy tym ideę systemu CVE. 

Zdaniem badacza wadliwy kod Broadcoma jest zaszyty w routerach i punktach dostępowych dziesiątek producentów. Oznacza to, że zagrożone mogą być miliony urządzeń na całym świecie. I choć atak wymaga znalezienia się w zasięgu sieci Wi-Fi, zagrożenia nie należy bagatelizować. 

W przypadku sprzętu, który nie otrzyma już poprawek, jedynym skutecznym rozwiązaniem pozostaje jego wymiana na nowszy model lub wyłączenie funkcji WPS.

Źródło: quentinkaiser.be  

~_secmike