באג בן 16 שנה בשבבי Wi-Fi של Broadcom מאפשר להשתלט על נתבים בלי סיסמה

מי שנמצא בטווח הקליטה של רשת ה-Wi-Fi שלכם, ברחוב, בלובי של הבניין או בחדר הסמוך במלון, עשוי להסתפק בזה כדי להשתלט על הנתב. החוקר קוונטין קייזר (Quentin Kaiser) הציג ב-16 באוקטובר בכנס Hexacon בפריז חולשה ברכיב ה-WPS של Broadcom, שקיים בקוד שלה לפחות מ-2010, ומאפשרת להריץ קוד על נתבים בלי לדעת את סיסמת הרשת. Broadcom סירבה להנפיק לחולשה מספר CVE, ולפי החוקר אף אחד מהמכשירים שזיהה עוד לא קיבל עדכון.

WPSplinter: איך מנגנון חיבור ישן הופך לשליטה מלאה בנתב

WPS הוא המנגנון שמאפשר לחבר מכשיר לרשת בלחיצת כפתור על הנתב, בלי להקליד סיסמה. במהלך התהליך הנתב מקבל הודעות שמגיעות בכמה חלקים ומרכיב אותן מחדש. לפי קייזר, הרכיב הישן של Broadcom שאחראי לכך, WPS Monitor, לא בודק שההודעה המורכבת נכנסת בשטח הזיכרון שהוקצה לה. התוצאה היא גלישת זיכרון, סוג פרצה קלאסי שמאפשר לתוקף לדלות מידע מהזיכרון ואף להריץ קוד משלו.

החולשה, שהחוקר כינה WPSplinter, נגישה עוד לפני שתהליך ה-WPS מסתיים. התוקף לא צריך את מפתח הרשת, לא צריך שמישהו ילחץ על כפתור ולא צריך שהמשתמש יעשה דבר. מספיק להיות בטווח הקליטה, ולדברי קייזר המתקפה עובדת גם ממרחק גדול. בהדגמה שלו התוקף שלף את סיסמת ה-Wi-Fi מזיכרון הנתב, השתמש בה כדי להצטרף לרשת, ופתח ערוץ שליטה שעובר כולו דרך מסגרות Wi-Fi, בלי שרת באינטרנט שאפשר לזהות או לחסום.

מיליוני נתבים, ותיקון שלא מגיע

הרכיב נמצא בשבבים של Broadcom משתי משפחות: מכשירים שמבוססים על מערכת eCos, כמו BCM3380, BCM3383 ו-BCM33834, ומכשירים מבוססי Linux, כמו BCM3390 ומשפחות BCM63xx, BCM65xx ו-BCM68xx. בדף הפרויקט מופיעה רשימה חלקית של דגמים שעשויים להיות פגיעים, ובהם נתבים ונקודות גישה לעסקים קטנים של Cisco מסדרות RV ו-WAP, נתבי TP-Link מסדרת Archer, ומכשירים של Netgear, Huawei, ZTE, Zyxel, Nokia, Sagemcom ו-Technicolor. החוקר מדגיש שלא כל דגם ברשימה אומת, ושהתאמה של שבב לבדה לא מוכיחה פגיעות.

כדי להמחיש את ההיקף, קייזר העריך בחישוב גס שבבלגיה לבדה חשופים יותר מ-1.5 מיליון נתבים של ספקיות האינטרנט Proximus, VOO ו-Orange. בעולם, לדבריו, מדובר בעשרות יצרנים, מאות מוצרים ומיליוני מכשירים.

הבעיה הגדולה היא שרשרת התיקון. קייזר דיווח ל-Broadcom ביולי. החברה השיבה שיש תיקון ושהיצרנים צריכים לפנות אליה, וסירבה להנפיק CVE, המספר המזהה שבעזרתו צוותי IT ומערכות ניהול חולשות עוקבים אחרי פרצות. גם הפנייה ל-CERT/CC, מרכז התיאום האמריקאי לאירועי אבטחה, נסגרה באותו יום. Broadcom כבר הוציאה ב-2018 תיקון חלקי והמליצה ליצרנים לעבור לרכיב אחר בשם hostapd. במכשירי eCos הישנים אין לפי החוקר דרך תיקון בכלל, והוא מכנה זאת forever day, חולשה שלא תיסגר לעולם.

יש כאן גם נקודה על AI. לדברי קייזר, מודלי בינה מלאכותית מתקדמים עזרו לו למצוא את הבאגים בפחות משבוע, עבודה שבלעדיהם הייתה נמשכת חודשים. אם זה נכון לחוקר, זה נכון גם לתוקפים. והנתב, כפי ש-Security Affairs מציין, הוא בדיוק המכשיר שכמעט אף אחד לא בודק את הקושחה שלו, גם לא צוותי אבטחה בארגונים.

מה הלאה

הפרסום הגיע אחרי 90 יום של ניסיונות גילוי מסודר, שקייזר מתאר כ״מבוי סתום, עם תיעוד״. מעכשיו הכדור אצל היצרנים וספקיות האינטרנט, וכדאי לעקוב אם יפרסמו עדכוני קושחה בשבועות הקרובים. מי שמחזיק נתב ישן במיוחד צריך להניח שעדכון כזה לא יגיע, ולתכנן החלפה.