Door een kwetsbaarheid in de WPS-implementatie van Broadcom kunnen aanvallers binnen wifi-bereik code uitvoeren op routers, zonder dat ze het wachtwoord kennen. Securityonderzoeker Quentin Kaiser toonde het lek aan op gateways van Proximus, VOO en Orange Belgium. Broadcom weet al sinds 2018 van het probleem, maar weigert een CVE toe te kennen.
Kaiser noemt de kwetsbaarheid WPSplinter, al heeft hij naar eigen zeggen een hekel aan bugs met een merknaam. Met een publieke documentatiepagina hoeft hij niet elke vraag apart per e-mail te beantwoorden.
De fout zit in Broadcoms eigen implementatie van 802.11 en staat volgens Kaiser al sinds minstens 2010 in de SDK van de chipmaker. Het gaat om een overflow bij het opnieuw samenstellen van WPS EAP-berichten. Een aanvaller hoeft de netwerksleutel niet te kennen en hoeft ook geen normale WPS-registratie af te ronden. Wie het lek misbruikt, kan informatie buitmaken en arbitrary code execution uitvoeren. De bug is daarmee zestien jaar oud.
Root shell over de lucht
Kaiser demonstreerde de aanval op een ASKEY TCG3000 van Orange Belgium. Zijn shellcode haalde de PSK uit het NVRAM en stuurde die via 802.11 terug naar de aanvaller. Met die sleutel maakte hij daarna verbinding met het netwerk. Op een BBOX3V+ van Proximus kreeg hij een reverse shell, ook via 802.11-frames. Een C2-server in de cloud was daarvoor niet nodig. En nee, de aanval werkt niet alleen als de antenne vlakbij staat. Volgens Kaiser lukt het ook over grote afstand.
Bij VOO zijn de Netgear CG3100 en CG3700, de Technicolor TC7210 en de CGA4233 kwetsbaar. Telenet gebruikt mogelijk kwetsbare Sagemcom F@st-modellen, maar Kaiser kon geen exemplaar in handen krijgen. Op basis van BIPT-data schat hij het aantal getroffen gateways op 850.000 bij Proximus, 500.000 bij VOO en 210.000 bij Orange.
Het probleem beperkt zich niet tot België. Wereldwijd gaat het om tientallen leveranciers en honderden producten. Kaiser deelt daarom een fingerprinting-script en een YARA-regel om alle getroffen apparaten in kaart te brengen.
Geen CVE, geen patch
In 2018 bracht Broadcom een onvolledige patch uit. Daarna raadde het bedrijf aan over te stappen op hostapd. Voor eCos-platformen (BCM3380, BCM3383, BCM33834) blijft het lek daardoor voorgoed open. Op Linux-platformen (BCM3390, BCM65xx, BCM68xx) geldt hetzelfde, tenzij fabrikanten de overstap maken. Volgens Kaiser weigert Broadcom een CVE toe te kennen of publiek over de bug te communiceren. Dat is volgens hem waarschijnlijk de reden dat zoveel OEM’s niet hebben gepatcht. CERT/CC sloot zijn melding op 4 augustus nog dezelfde dag, omdat Broadcom zelf CVE Numbering Authority is.
Kaiser hield een termijn van 90 dagen aan, te rekenen vanaf 18 juli. Proximus reageerde en had een gesprek met de onderzoeker. Orange antwoordde niet. Ook het Centrum voor Cybersecurity België kreeg het rapport. Toch was op 15 oktober nog geen enkel getroffen apparaat bijgewerkt. “Dit betekent dat je vanaf de overkant van de straat een root shell kunt krijgen op een aanzienlijk deel van de routers in België, en waarschijnlijk ook elders”, schrijft Kaiser. Gebruikers kunnen WPS uitschakelen in de instellingen van hun modem.
Tip: CEO Broadcom vergelijkt AI-investeerders met casinospelers