Дыра в WPS от Broadcom даёт атакующему рядом права root на роутере

Исследователь безопасности Квентин Кайзер 16 октября раскрыл уязвимость в фирменном ПО Broadcom для настройки Wi-Fi. Ошибка позволяет атакующему, находящемуся в радиусе действия сети, выполнить код с правами root на роутерах на чипах Broadcom — без пароля от сети и без какой-либо процедуры сопряжения.

Баг кроется в реализации Wi-Fi Protected Setup (WPS) — механизма, который даёт устройству подключиться к сети без ввода пароля. Код Broadcom неправильно собирает фрагментированные сообщения WPS, поэтому специально сформированные пакеты повреждают память роутера. Опираясь на это, Кайзер сделал две вещи: научился считывать память устройства и запускать на нём собственный код.

Что показала демонстрация

Атаку исследователь продемонстрировал на домашних шлюзах трёх бельгийских провайдеров. На шлюзе Askey TCG3000 от Orange Belgium эксплойт прочитал хранящийся на устройстве пароль Wi-Fi (PSK), передал его по воздуху и подключился к сети. На шлюзе Sagemcom BBOX3V+ от Proximus он открыл обратный shell — удалённую командную строку, передаваемую через Wi-Fi-кадры, так что внешний сервер не требовался. Оба сценария сработали без авторизации и, по словам Кайзера, не только вблизи, но и на расстоянии. Реальных атак с использованием дыры он не наблюдал; работающие эксплойты — его собственные.

Масштаб

Код WPS от Broadcom встроен в роутеры и точки доступа десятков производителей. Кайзер оценивает число затронутых устройств по всему миру в миллионы. Уязвимые чипы делятся на два семейства. Старые на eCos (BCM3380, BCM3383, BCM33834) исправить не удалось — исследователь называет это «forever day», багом, который на этих устройствах не будет закрыт никогда. Новые на Linux (BCM3390, BCM65xx, BCM68xx) теоретически можно починить, сменив Wi-Fi-ПО.

В Бельгии уязвимость подтверждена на шлюзах трёх из четырёх крупных провайдеров — Proximus, Orange Belgium и VOO; четвёртый, Telenet, протестировать не удалось. Более широкий список, от точек доступа Cisco для малого бизнеса до роутеров Huawei и ARRIS, смешивает подтверждённые и непроверенные записи.

Почему нет патча и CVE

Код старый — Кайзер прослеживает его как минимум до 2010 года. В 2018 году Broadcom выпустила неполное исправление, а затем посоветовала клиентам перейти на другой пакет Wi-Fi-ПО, hostapd, вместо того чтобы полагаться на фикс. Идентификатор CVE уязвимости не присвоен. По словам Кайзера, Broadcom знает о баге с 2018 года, но публично не комментирует его и регистрировать CVE отказывается — именно поэтому, считает он, столько производителей так и не выпустили патчи. Обращение в CERT Coordination Center закрыли в тот же день: право присваивать CVE для своих продуктов держит сама Broadcom.

Что делать

Устанавливать нечего, настройки, блокирующей атаку по воздуху, Кайзер не называет. Вместо этого он предлагает средства выявления уязвимого оборудования: правила YARA, распознающие уязвимый код в извлечённой прошивке, и скрипт, который слушает активную точку доступа и сообщает, выглядит ли она уязвимой. Оба инструмента — лишь подспорье: совпадение означает повод проверить устройство глубже, а не подтверждённый диагноз. Для техники, которую не починят никогда, единственный практичный выход — замена.

Источник: The Hacker News