Broadcom-lek maakt overname van routers op afstand mogelijk, patches ontbreken nog

De fout zit in de manier waarop de software van Broadcom WPS-berichten verwerkt, een onderdeel van wifi dat bedoeld is om apparaten eenvoudig te koppelen. Een aanvaller binnen wifi-bereik hoeft de netwerksleutel niet te kennen en hoeft ook geen WPS-koppeling af te ronden. Volgens de onderzoeker leidt misbruik tot het uitlezen van gegevens en het uitvoeren van willekeurige code. In een demonstratie op een Orange-router haalde hij de wifi-sleutel uit het geheugen van het apparaat en stuurde die via wifi terug. Bij een Proximus-toestel (BBOX3V+) kreeg hij een commandoregel op afstand, eveneens via wifi.

Lek aanwezig sinds 2010

Volgens de onderzoeker zit de fout sinds minstens 2010 in de softwarepakketten van Broadcom. In 2018 verscheen een onvolledige patch zonder ruchtbaarheid, gevolgd door een nieuwe versie van het pakket waarin de kwetsbare onderdelen zijn vervangen door de opensourcesoftware hostapd. Broadcom adviseert fabrikanten over te stappen op die versie. Voor chips met eCos als besturingssysteem (BCM3380, BCM3383 en BCM33834) is het lek daardoor volgens de onderzoeker permanent, voor Linux-chips (onder meer BCM3390 en de 68xx-reeksen) alleen zolang fabrikanten niet migreren. Broadcom weigerde een CVE-nummer toe te kennen en zou geen kopie van de melding aan fabrikanten hebben verstrekt. Een zaak bij CERT/CC werd op dezelfde dag gesloten omdat Broadcom zelf CVE-nummers mag uitgeven.

De onderzoeker toonde het lek aan op de Proximus BBOX 3V+, de Netgear CG3100 en CG3700, de Technicolor 7210 en CGA4233 van VOO en de Askey TCG3000 van Orange Belgium. Op basis van cijfers van het IBPT en mededelingen van de providers schat hij, naar eigen zeggen met gemiddeld vertrouwen, dat het gaat om circa 850.000 gateways bij Proximus, 500.000 bij VOO en 210.000 bij Orange Belgium. Telenet werd aanvankelijk genoemd als mogelijk getroffen, maar uit een aanpassing van 20 oktober blijkt dat het bedrijf niet is getroffen: het controleerde zijn hele netwerk en vond geen toestellen waarop de betrokken WPS-dienst draait. De onderzoeker verwacht dat ook buiten België apparaten kwetsbaar zijn, omdat de fabrikanten meerdere markten bedienen, en publiceerde een script en een YARA-regel om getroffen toestellen op te sporen.

Meldingen sinds juli zonder zichtbaar resultaat

De onderzoeker meldde het lek op 18 en 27 juli bij Broadcom, naar eigen zeggen met een vaste termijn van negentig dagen. Op 29 juli informeerde hij Proximus, probeerde hij contact te leggen met Orange Belgium en VOO en stuurde hij zijn rapport naar het Centrum voor Cybersecurity België. Proximus vroeg om het volledige rapport en voerde op 25 augustus een gesprek met hem; van Orange kreeg hij naar eigen zeggen geen antwoord. Over maatregelen van fabrikanten en providers heeft hij geen informatie, behalve dat de toestellen op 15 oktober nog niet waren gepatcht.