Uma falha no software de configuração de Wi-Fi da Broadcom permite que um invasor dentro do alcance do sinal de rádio execute código com privilégios de administrador em roteadores que usam componentes da empresa, sem precisar da senha da rede nem passar por qualquer etapa de emparelhamento. A vulnerabilidade foi divulgada em 16 de outubro pelo pesquisador de segurança Quentin Kaiser.
Ele demonstrou o ataque em equipamentos de acesso doméstico fornecidos por três provedores de internet da Bélgica. Em um caso, conseguiu ler a senha do Wi-Fi diretamente no dispositivo; em outro, obteve acesso a uma linha de comando remota pelo ar. Segundo Kaiser, a falha não recebeu um CVE, e nenhuma correção foi distribuída para os roteadores afetados.
O problema está na implementação da Broadcom do Wi-Fi Protected Setup (WPS), recurso que permite conectar dispositivos a uma rede Wi-Fi sem digitar a senha. O código da empresa remonta incorretamente mensagens fragmentadas de configuração do WPS. Com isso, um invasor próximo pode enviar mensagens especialmente elaboradas e corromper a memória do roteador. Kaiser desenvolveu duas formas de explorar o problema: uma para ler dados da memória do equipamento e outra para executar código próprio nele.
Em um equipamento Askey TCG3000 fornecido pela Orange Belgium, o pesquisador conseguiu extrair das configurações armazenadas a senha do Wi-Fi, também conhecida como chave pré-compartilhada (PSK). O roteador transmitiu a senha pelo ar, e Kaiser conseguiu usá-la para se conectar à rede.
Em um equipamento BBOX3V+ da Sagemcom, fornecido pela Proximus, o exploit abriu um shell reverso. A comunicação ocorreu por meio de quadros Wi-Fi, sem necessidade de um servidor externo.
Segundo Kaiser, os dois ataques funcionaram sem autenticação. Embora o invasor precise estar dentro do alcance do sinal de rádio, os ataques podem ser executados remotamente. Ele afirma não ter conhecimento de ataques reais que explorem a falha. Os exploits funcionais foram desenvolvidos por ele.
Quais dispositivos são afetados
O código de WPS da Broadcom está incorporado em roteadores e pontos de acesso de dezenas de fabricantes. Kaiser estima que milhões de dispositivos no mundo todo estejam vulneráveis.
Os componentes afetados pertencem a duas famílias. Entre os modelos mais antigos, baseados no eCos, estão os BCM3380, BCM3383 e BCM33834. Kaiser não encontrou uma correção utilizável para eles e descreve o problema como uma falha permanente, que nunca receberá um patch nesses dispositivos.
Os modelos mais recentes, baseados em Linux, incluem os BCM3390, BCM65xx e BCM68xx. Eles poderiam ser corrigidos caso os fabricantes substituíssem o software de Wi-Fi.
Na Bélgica, Kaiser encontrou a falha presente e explorável em equipamentos de três dos quatro maiores provedores: Proximus, Orange Belgium e VOO. A Telenet, a quarta empresa, também pode ser afetada, mas o pesquisador não conseguiu testar um de seus dispositivos.
Uma lista mais ampla publicada por Kaiser inclui desde pontos de acesso para pequenas empresas da Cisco até roteadores da Huawei e da ARRIS. Ela reúne dispositivos confirmados e não confirmados. Algumas indicações se baseiam em uma verificação automatizada que apenas classifica os equipamentos como “provavelmente vulneráveis”.
Segundo Kaiser, as estimativas para cada provedor belga chegam a centenas de milhares de equipamentos, mas são aproximadas.
Por que não há patch nem CVE
A falha é antiga. Kaiser rastreou o código até pelo menos 2010 e afirma que a Broadcom distribuiu uma correção incompleta em 2018. Depois, a empresa teria orientado os clientes a adotar outro pacote de software de Wi-Fi, chamado hostapd, em vez de depender da correção. Nos componentes eCos mais antigos, diz o pesquisador, nunca foi distribuída uma correção funcional, motivo pelo qual considera a falha permanente.
O problema não recebeu um CVE, identificador usado por empresas e equipes de defesa para acompanhar vulnerabilidades. Kaiser afirma que a Broadcom informou já conhecer a falha desde 2018 e que outras pessoas também a haviam comunicado. Ainda assim, a empresa não teria registrado um CVE nem se pronunciado publicamente, o que, na avaliação do pesquisador, ajuda a explicar por que tantos fabricantes não corrigiram os dispositivos.
Quando Kaiser encaminhou o caso ao CERT Coordination Center, o processo foi encerrado no mesmo dia. A justificativa foi que a própria Broadcom tem autoridade para atribuir CVEs a falhas em seus produtos e não faria isso. Até 19 de outubro, o The Hacker News informou não ter encontrado um CVE associado ao problema.
O que as equipes de defesa podem fazer
Não há patch disponível para instalação, e Kaiser não aponta nenhuma configuração capaz de bloquear o ataque pelo ar. Como alternativa, ele publicou ferramentas para identificar equipamentos potencialmente afetados: regras YARA que localizam o código vulnerável em firmware extraído e um script que monitora um ponto de acesso ativo e informa se ele parece vulnerável.
O pesquisador ressalta que as duas ferramentas servem apenas para uma triagem. Um dispositivo corrigido ainda pode corresponder às regras. Portanto, um resultado positivo indica que é preciso investigar, mas não confirma a vulnerabilidade. Para equipamentos que nunca receberão uma correção, a substituição é a opção prática.
Kaiser afirma que a falha pode ser especialmente útil para invasores que atacam alvos por meio de redes Wi-Fi próximas, em vez de pela internet. Hackers russos ligados ao Estado já usaram uma técnica semelhante para invadir redes a partir de locais do outro lado da rua.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...