Баг в роутерах Broadcom возрастом 16 лет

Исследователь Квентин Кайзер нашёл дыру в прошивках Broadcom, из-за которой любой человек в радиусе действия Wi-Fi может выполнить код на роутере без единого пароля (!). Достаточно физически находиться рядом.

Проблема сидит в старой реализации WPS: роутер собирает входящие фрагментированные сообщения в памяти, но делает это криво, не проверяя границы буфера. В итоге данные вылезают за пределы выделенного участка, перезаписывая соседние области... классическое переполнение буфера, которое уже лет 20 как должно было вымереть, но почему-то не вымерло.

На роутере Orange Belgium Кайзер просто прочитал пароль от Wi-Fi, а на оборудовании Proximus получил полноценный доступ к командной оболочке. Затронуты три бельгийских оператора (Proximus, VOO, Orange Belgium) и конкретные модели BBOX 3V+, Askey TCG3000, Netgear CG3100 и CG3700.

По прикидкам исследователя, только в Бельгии таких уязвимых коробок около 1,5 миллиона, и это он считал по истории поставок, то есть реальная цифра может отличаться в любую сторону. Операторы пока хранят молчание.

Печально, что баг находится в коде Broadcom как минимум с 2010 года. В 2018-м компания заменила проблемный компонент на связку WPA Supplicant и hostapd, но, судя по всему, забыла об этом сообщить производителям железа, потому что часть из них так и не перенесла исправление в свои прошивки. А когда Кайзер в июле этого года всё-таки сообщил Broadcom о проблеме, компания не просто не поспешила патчить устройства, она отказалась даже присвоить уязвимости номер CVE... То есть формально для индустрии безопасности этой дыры как бы не существует, хотя по факту она торчит из полутора миллионов роутеров в одной только Бельгии. Для желающих проверить свои устройства Кайзер выложил два инструмента: один сканирует прошивку на признаки уязвимого компонента, второй проверяет живой роутер прямо по воздуху.