網通晶片供應商博通（Broadcom）的 Wi-Fi 保護設定（Wi-Fi Protected Setup，WPS）功能存在漏洞。攻擊者只要位於無線電範圍內，不需網路密碼，也不必完成任何配對，就能在採用博通晶片的路由器上以最高權限（root）執行程式碼。資安研究員 Quentin Kaiser 已於 10 月 16 日公開揭露此事，目前該漏洞尚無 CVE 編號，受影響的路由器也尚未部署修補。
分段訊息重組不當，導致記憶體損毀
WPS 讓裝置不需輸入密碼即可加入 Wi-Fi 網路。據外媒報導，博通版 WPS 在重組分段設定訊息時處理不當，攻擊者只要在範圍內傳送精心設計的訊息，就能使路由器記憶體損毀。Kaiser 據此開發出兩種手法：從裝置讀回記憶體內容，以及執行自己的程式碼。
實測：讀出 Wi-Fi 密碼、開啟遠端指令列
Kaiser 在比利時電信業者提供的家用閘道器上實際演示攻擊。以 Orange Belgium 的 Askey TCG3000 為例，他從路由器儲存的設定中讀出預先共用金鑰（PSK），再透過無線方式回傳，藉此取得密碼並加入網路。針對 Proximus 採用 Sagemcom 製造的 BBOX3V+，他則開啟反向 shell（reverse shell），直接經由 Wi-Fi 封包傳送遠端指令，過程中不需要外部伺服器。
這兩項攻擊都無需登入，Kaiser 表示即使在較遠距離同樣可行。他並未發現任何實際利用此漏洞的攻擊，示範用的攻擊程式也由他自行開發。
影響範圍涵蓋兩大晶片家族
Kaiser 指出，博通的 WPS 程式碼內嵌於數十家廠商的路由器與無線基地台，估計全球受影響裝置達數百萬台。
受影響晶片分為兩類：較舊的 eCos 系列（BCM3380、BCM3383、BCM33834）已找不到可用修補，被他稱為「永久漏洞」（forever day），意即永遠不會修補；
較新的 Linux 系列（BCM3390、BCM65xx、BCM68xx）若製造商改用其他 Wi-Fi 軟體，仍有機會修復。
在比利時，Proximus、Orange Belgium 與 VOO 三家的閘道器已確認存在漏洞且可被利用；Telenet 可能也受影響，但 Kaiser 無法取得設備測試。各業者受影響的閘道器數量粗估達數十萬台。他另公布涵蓋 Cisco、華為與 ARRIS 設備的名單，但其中混有未確認項目，部分僅是自動檢測判定為「可能有漏洞」。
漏洞存在逾十年，無 CVE 也無修補
Kaiser 追溯相關程式碼，發現問題至少可回溯至 2010 年。他指出，博通 2018 年提供的修補並不完整，並建議客戶改用另一套 Wi-Fi 軟體 hostapd；舊款 eCos 晶片則從未推出可用的修補。
用來讓防禦者與廠商追蹤漏洞的通用漏洞編號（CVE），至今仍未取得。Kaiser 表示，博通自 2018 年起就知道此問題，卻不願登記 CVE，也不對外說明；他認為這正是許多設備廠商始終未修補的原因。他後來向 CERT 協調中心（CERT Coordination Center）求助，但案件當天即結案，因為博通對自家產品握有 CVE 指派權，卻不願指派。外媒查證，截至 10 月 19 日，仍找不到此漏洞的 CVE。
目前無修補可用，以盤點與汰換因應
Kaiser 並未提出可在無線端阻擋攻擊的設定，而是改為提供找出受影響設備的工具，並提醒這些工具僅供初步篩選：已修補的設備仍可能被判定命中，命中不等於確診。他也指出，此漏洞的風險來自鄰近 Wi-Fi 範圍內的攻擊者，而非經由網際網路入侵。
- YARA 規則：比對解出的韌體中是否含有漏洞程式碼。
- 偵測腳本：監聽運作中的無線基地台，回報其是否可能存在漏洞。
- 汰換設備：對確定無法修補的設備，實務上只能直接更換。
本文轉載自 TheHackerNews。