Исследователь Квентин Кайзер сообщил об уязвимости в реализации Wi‑Fi Protected Setup (WPS) от Broadcom. По его данным, атакующий в зоне действия беспроводной сети может выполнить код на маршрутизаторе с правами root, не зная пароль Wi‑Fi и не проходя сопряжение с устройством. На 19 октября 2026 года у проблемы нет CVE, а исправления для затронутых маршрутизаторов не выпущены.
Что подтвердил исследователь
16 октября Кайзер сообщил о результатах проверки домашних шлюзов, которые бельгийские провайдеры выдают абонентам. Возможность эксплуатации он подтвердил на устройствах трёх операторов: Proximus, Orange Belgium и VOO. Ещё один крупный провайдер, Telenet, также может быть затронут, однако его оборудование исследователь протестировать не смог.
На шлюзе Orange Belgium — Askey TCG3000 — один из сценариев позволял извлечь из сохранённой конфигурации пароль Wi‑Fi, передать его по беспроводной сети и затем подключиться к сети с этим PSK. На BBOX3V+ производства Sagemcom, который использует Proximus, другой эксплойт открывал обратную оболочку. Командный канал в этом случае передавался через Wi‑Fi-кадры, поэтому внешний сервер не требовался.
Оба варианта эксплуатации не требуют аутентификации. Кайзер указывает, что атаковать устройство можно с расстояния, а не только находясь непосредственно рядом с ним. О фактическом использовании этой ошибки злоумышленниками он не сообщал: рабочие эксплойты были разработаны самим исследователем.
Ошибка в обработке WPS-сообщений
Проблема находится в коде Broadcom для WPS — механизма подключения устройств к Wi‑Fi без ручного ввода пароля. Реализация некорректно собирает фрагментированные сообщения настройки WPS. Специально сформированные сообщения, отправленные по радиоканалу, могут повредить память маршрутизатора.
На основе этой ошибки Кайзер подготовил два варианта эксплуатации. Первый позволяет читать данные из памяти устройства, второй — запускать на нём собственный код. В описанном сценарии код выполняется с правами root.
Какие платформы могут быть затронуты
Код WPS Broadcom применяется в маршрутизаторах и точках доступа десятков производителей. Кайзер оценивает возможный масштаб в миллионы устройств по всему миру. При этом опубликованный им расширенный перечень нельзя считать полностью подтверждённым: в нём есть проверенные устройства и неподтверждённые записи. Часть моделей отмечена как «вероятно уязвимые» только по результатам автоматической проверки.
Среди упомянутого оборудования — точки доступа Cisco для малого бизнеса, а также маршрутизаторы Huawei и ARRIS. Число шлюзов у каждого из бельгийских операторов исследователь оценивает в сотни тысяч, подчёркивая приблизительный характер этой оценки.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
Затронутые чипы он разделил на две группы:
- старые модели с eCos: BCM3380, BCM3383 и BCM33834;
- более новые модели под управлением Linux: BCM3390, BCM65xx и BCM68xx.
Для Linux-устройств устранение проблемы возможно, если производитель оборудования заменит используемый пакет Wi‑Fi ПО. Для старых платформ eCos исследователь не нашёл применимого исправления и охарактеризовал проблему как forever day — уязвимость, которая, вероятно, останется неисправленной на таких устройствах.
Почему нет CVE и обновлений
Историю уязвимого кода Кайзер проследил как минимум до 2010 года. По его данным, Broadcom выпустила неполное исправление в 2018 году, а затем рекомендовала заказчикам перейти с этого исправления на другой пакет Wi‑Fi ПО — hostapd. Для старых eCos-чипов рабочее обновление, по словам исследователя, так и не появилось.
Кайзер утверждает, что Broadcom сообщила ему о своей осведомлённости о проблеме с 2018 года и об обращениях других исследователей. Публичных заявлений компания не делала и CVE не зарегистрировала. Исследователь связывает отсутствие публичной идентификации с тем, что многие производители оборудования не выпустили исправления.
После передачи случая в координационный центр CERT обращение закрыли в тот же день. По описанию Кайзера, Broadcom имеет полномочия назначать CVE своим продуктам, но отказалась это сделать. По состоянию на 19 октября идентификатор CVE для этой уязвимости отсутствовал.
Что могут сделать администраторы
Универсального обновления для этой проблемы нет. Настройки, которая гарантированно блокировала бы атаку через радиоинтерфейс, исследователь также не указал. Для начальной проверки он подготовил два инструмента: YARA-правила для поиска уязвимого кода в извлечённой прошивке и скрипт, проверяющий работающую точку доступа на признаки уязвимости.
Оба средства предназначены только для предварительной диагностики. Исправленное устройство тоже может совпасть с правилами, поэтому положительный результат означает необходимость дополнительного анализа, а не подтверждённую уязвимость. Для оборудования, которое не получит исправлений, практической мерой остаётся замена.
Российским организациям в первую очередь стоит выявить Wi‑Fi-оборудование на перечисленных платформах Broadcom, включая выданные операторами шлюзы и старые точки доступа, но использовать семейство BCM только для первичного отбора. Подтверждать риск следует по конкретной модели, версии прошивки и наличию уязвимого WPS-кода либо результатам дополнительной проверки. Риск наиболее релевантен в сценариях, где атакующий может находиться в радиусе действия сети, а не атаковать из интернета. Кайзер отметил, что доступ через расположенную рядом Wi‑Fi-сеть ранее применяли российские государственные хакеры при взломах сетей с другой стороны улицы. Публичных данных об эксплуатации этой ошибки против российских организаций в его исследовании нет.