Uma falha no software de configuração Wi-Fi da Broadcom permite que um atacante dentro do alcance de rádio execute código como root em roteadores baseados em chips da empresa, sem a senha da rede e sem qualquer etapa de pareamento. A falha foi divulgada pelo pesquisador de segurança Quentin Kaiser em 16 de outubro.
Ele demonstrou o ataque em gateways domésticos fornecidos por três provedores de internet belgas. Em um caso, conseguiu ler a senha do Wi-Fi diretamente do equipamento; em outro, abriu um shell remoto pelo ar. Não há CVE (identificador de vulnerabilidades e exposições comuns) atribuído à falha, e nenhuma correção foi aplicada aos roteadores afetados, segundo Kaiser.
A falha está na versão da Broadcom do Wi-Fi Protected Setup (WPS, protocolo que permite a um dispositivo entrar em uma rede Wi-Fi sem que a senha seja digitada). O código da Broadcom trata de forma incorreta o reagrupamento de mensagens fragmentadas de configuração do WPS, de modo que um atacante na área pode enviar mensagens forjadas que corrompem a memória do roteador. A partir daí, Kaiser desenvolveu duas funções: uma para ler a memória do equipamento e outra para executar seu próprio código nele.
Em um gateway da Orange Belgium, o modelo Askey TCG3000 teve a senha Wi-Fi (a PSK, chave pré-compartilhada) lida a partir das configurações armazenadas no roteador. A chave foi enviada de volta pelo ar, e o pesquisador entrou na rede com ela.
Em um gateway da Proximus, o modelo BBOX3V+, fabricado pela Sagemcom, o exploit abriu um reverse shell, uma linha de comando remota transportada por quadros Wi-Fi, de modo que não foi necessário nenhum servidor externo.
Os dois testes foram feitos sem qualquer login, e o ataque funciona a distância, não apenas de perto, afirma Kaiser. Ele não relata ataques reais usando a falha. Os exploits que funcionaram são de sua autoria.
O que está afetado
O código WPS da Broadcom está embutido em roteadores e pontos de acesso de dezenas de fabricantes, e Kaiser estima que milhões de dispositivos em todo o mundo sejam afetados.
Os chips vulneráveis se dividem em duas famílias: os modelos mais antigos, baseados no sistema eCos (BCM3380, BCM3383 e BCM33834), para os quais ele não encontrou uma correção utilizável e classifica o problema como um “forever day” (termo para uma falha que nunca será corrigida naqueles dispositivos); e os modelos mais novos, baseados em Linux (BCM3390, BCM65xx e BCM68xx), que poderiam ser corrigidos caso os fabricantes trocassem o software Wi-Fi.
Na Bélgica, Kaiser constatou que a falha está presente e é explorável em gateways de três das quatro grandes operadoras: Proximus, Orange Belgium e VOO. Uma quarta, a Telenet, pode ser afetada também, mas ele não conseguiu testar um equipamento dela.
A lista mais ampla que ele publicou, que vai de pontos de acesso Cisco para pequenas empresas a roteadores Huawei e ARRIS, mistura casos confirmados e não confirmados. Parte dos itens se baseia em uma verificação automática que apenas indica que o dispositivo é “provavelmente vulnerável”.
Segundo ele, as estimativas belgas por provedor chegam a centenas de milhares de gateways, mas são números aproximados.
Por que não há correção nem CVE
A falha é antiga. Kaiser rastreia o código até pelo menos 2010 e afirma que a Broadcom lançou uma correção incompleta em 2018 e, em seguida, orientou os clientes a migrar para outro pacote de software Wi-Fi, chamado hostapd, em vez de depender dessa correção. Nos chips eCos mais antigos, segundo ele, nunca foi distribuída uma correção funcional, por isso ele chama o problema de “forever day”.
Nenhum CVE, o identificador de rastreamento que permite a defensores e fabricantes acompanhar uma falha, foi atribuído a ela. Kaiser afirma que a Broadcom disse a ele que conhece o problema desde 2018 e que tinha ouvido falar dele por outras fontes, mas não quis registrar um CVE nem se pronunciar publicamente. Na avaliação dele, isso explica por que tantos fabricantes nunca aplicaram a correção.
Quando levou o caso ao CERT Coordination Center, a análise foi encerrada no mesmo dia, pois a própria Broadcom tem a autoridade para atribuir CVEs aos seus produtos e não o fez. A The Hacker News não encontrou nenhum CVE para a falha até 19 de outubro.
O que os defensores podem fazer
Não há correção a instalar, e Kaiser não aponta nenhuma configuração que bloqueie o ataque pelo ar. Ele disponibilizou, em vez disso, uma forma de identificar equipamentos afetados: regras YARA
