Un defecte en el programari de configuració de la xarxa wifi de Broadcom permet que un atacant situat dins del rang de cobertura executi codi com a root en encaminadors equipats amb xips Broadcom, sense necessitat de conèixer la contrasenya de la xarxa ni de realitzar cap procés d’emparellament, segons va revelar el 16 d’octubre l’investigador de seguretat Quentin Kaiser.

Kaiser va demostrar que l’atac funcionava contra passarel·les domèstiques subministrades per tres proveïdors d’Internet belgues, de manera que en un cas va aconseguir llegir la contrasenya de la xarxa wifi del dispositiu i en un altre va obrir un shell remot per aire. Tanmateix, afirma que no s’ha assignat cap codi CVE a la fallada i que tampoc no s’ha implementat cap solució als encaminadors afectats.

El defecte es troba en la versió de Broadcom del sistema Wi-Fi Protected Setup (WPS), la funció que permet connectar un dispositiu a una xarxa wifi sense haver d’introduir-hi la contrasenya. El codi de Broadcom gestiona malament el reassemblatge dels missatges de configuració WPS fragmentats, de manera que un atacant a l’abast pot enviar missatges manipulats que corrompen la memòria de l’encaminador. A partir d’aquí, Kaiser va desenvolupar dos procediments: un per llegir la memòria del dispositiu i un altre per executar-hi codi propi.

En el cas d’una passarel·la d’Orange Belgium (el model Askey TCG3000), va llegir la contrasenya de la xarxa wifi (la PSK) des de la configuració emmagatzemada de l’encaminador, la va retransmetre per aire i posteriorment es va connectar a la xarxa.

Així mateix, contra una passarel·la de Proximus (el model BBOX3V+ fabricat per Sagemcom), l’atacant va obrir un shell invers (una línia d’ordres remota) i va transmetre trames wifi, evitant així la necessitat de cap servidor extern.

Ambdós fets s’han executat sense cap inici de sessió i l’atac funciona a distància, no únicament de prop, segons indica Kaiser. Així mateix, l’investigador afirma que no consta que s’hagi dut a terme cap atac real mitjançant aquesta fallada i que els codis d’explotació operatius existents són seus.

Dispositius afectats

El codi WPS de Broadcom està integrat en encaminadors i punts d’accés de desenes de proveïdors, i Kaiser estima que milions de dispositius a tot el món estan afectats.

Els xips vulnerables es divideixen en dues famílies: per una banda, els models antics basats en eCos (BCM3380, BCM3383 i BCM33834), per als quals no va trobar cap solució viable i qualifica la fallada de «per sempre» o permanent (és a dir, una vulnerabilitat que no es corregirà mai en aquests equips); per l’altra, els models més recents basats en Linux (BCM3390, BCM65xx i BCM68xx), que es podrien solucionar si els seus fabricants canviessin de programari de xarxa wifi.

A Bèlgica, Kaiser va trobar la fallada present i explotable en passarel·les de tres dels quatre grans proveïdors: Proximus, Orange Belgium i VOO. Un quart proveïdor, Telenet, també podria estar afectat, tot i que no en va poder provar cap equip.

Una llista més àmplia que va publicar, la qual inclou des de punts d’accés per a petites empreses de Cisco fins a encaminadors de Huawei i ARRIS, barreja entrades confirmades i no confirmades, ja que algunes es basen en un procés de comprovació automatitzat que només identifica el dispositiu com a «probablement vulnerable».

Així mateix, s’estima que el nombre de passarel·les afectades a Bèlgica per proveïdor podria arribar a centenars de milers, tot i que es tracta d’estimacions aproximades.

Motius per als quals no hi ha cap pedaç ni cap registre CVE

La vulnerabilitat és antiga: Kaiser en situa el codi com a mínim l’any 2010 i assenyala que Broadcom va publicar una solució incompleta el 2018. Després, la companyia va recomanar als clients que canviessin a un paquet de programari de wifi diferent (anomenat hostapd) en lloc de refiar-se d’aquella correcció. Per als xips eCos més antics, segons indica, mai no es va distribuir cap solució funcional, motiu pel qual qualifica el cas com a «forever day».

Tampoc no se li ha assignat cap CVE (l’identificador de seguiment que permet a defensors i proveïdors fer el seguiment d’una fallada de seguretat). Kaiser afirma que Broadcom li va comunicar que coneixia l’error des del 2018 i que ja n’havia rebut notificacions per part d’altres fonts, però no va registrar cap CVE ni va fer cap declaració pública, fet que podria explicar per què molts fabricants no van aplicar mai la correcció.

Quan va traslladar el cas al Centre de Coordinació del CERT, l’expedient es va tancar el mateix dia, ja que la mateixa companyia Broadcom té l’autoritat per assignar CVE als seus productes i no ho va fer. Segons va comprovar The Hacker News, a data de 19 d’octubre no constava cap CVE assignat a aquesta vulnerabilitat.

Mesures recomanades per als equips de seguretat

Atès que no hi ha cap pedaç disponible per instal·lar ni cap opció de configuració que permeti bloquejar l’atac per aire, Kaiser ofereix eines per identificar l’equipament afectat: d’una banda, les regles YARA, que detecten el codi vulnerable al microprogramari extret; de l’altra, un script que escolta un punt d’accés en directe i indica si sembla vulnerable.

L’autor remarca que ambdues eines són ajudes per al triatge, ja que un dispositiu corregit pot continuar donant positiu en les regles; per tant, un avís és un motiu per fer-hi verificacions addicionals i no pas una confirmació definitiva. Pel que fa als equips que no rebran cap actualització, la substitució és l’opció més pràctica.

Kaiser considera que aquesta fallada és especialment idònia per a atacants que vulguin accedir a un objectiu a través de la xarxa wifi propera en comptes de fer-ho des d’Internet, una tècnica utilitzada per grups de pirates informàtics vinculats a l’Estat rus i que ja han utilitzat per vulnerar xarxes des del carrer del davant.