Beveiligingsonderzoeker Quentin Kaiser heeft op 16 oktober tijdens de Hexacon-conferentie in Parijs een kwetsbaarheid onthuld in de Wi-Fi Protected Setup-code van Broadcom, waarmee een aanvaller binnen wifi-bereik code als root kan uitvoeren op routers met de getroffen chips. Een wachtwoord, inlogpoging of koppelstap is niet nodig: alleen bereik tot het draadloze signaal volstaat.
Volgens Kaiser verwerkt Broadcom’s code gefragmenteerde WPS-setupberichten op een gebrekkige manier. Een aanvaller kan speciaal geprepareerde pakketten sturen die het geheugen van de router laten corrumperen, wat uiteindelijk code-uitvoering met root-rechten oplevert. Kaiser demonstreerde de aanval tegen twee providerrouters in België. Bij een Askey TCG3000-gateway van Orange Belgium wist zijn exploit het opgeslagen wifi-wachtwoord, de PSK, uit te lezen, dat via de lucht terug te sturen en daarmee alsnog op het netwerk in te loggen. Bij een Sagemcom BBOX3V+ van Proximus opende de exploit een reverse shell, puur via wifi-frames en zonder enige aanmelding.
De kwetsbaarheid raakt twee generaties Broadcom-chips: de oudere, op eCos gebaseerde chips BCM3380, BCM3383 en BCM33834, en de nieuwere, op Linux gebaseerde chips BCM3390, BCM65xx en BCM68xx. Voor de nieuwere chips bracht Broadcom in 2018 al een fix uit, maar die bleek onvolledig. Voor de oudere eCos-chips verscheen nooit een werkende oplossing.
Een patch is er dan ook nog altijd niet. Kaiser zegt dat Broadcom al sinds 2018 van het probleem weet, er ook via anderen eerder over hoorde, maar weigerde een CVE-nummer te registreren of de kwetsbaarheid publiekelijk te erkennen. Hij denkt dat dit mede de reden is waarom zoveel fabrikanten nooit hebben gepatcht. Toen hij de zaak voorlegde aan het CERT Coordination Center, werd die nog dezelfde dag gesloten, omdat Broadcom zelf de bevoegdheid heeft om CVE-nummers voor zijn eigen producten toe te kennen en dat weigerde te doen. Op 19 oktober was er dan ook nog altijd geen CVE-nummer voor de kwetsbaarheid geregistreerd.
Hoe groot het aantal kwetsbare apparaten wereldwijd precies is, staat niet vast. Kaiser testte alleen Belgische providerrouters; een gateway van Telenet testte hij niet. Een bredere lijst van apparaten die hij zelf publiceerde, noemt daarnaast onder meer toegangspunten van Cisco en routers van Huawei en ARRIS als mogelijk kwetsbaar. Kaiser zegt geen aanwijzingen te hebben dat de kwetsbaarheid al actief wordt misbruikt.
Omdat er geen patch bestaat en de leverancier een CVE-nummer weigert, is dit voor Nederlandse organisaties en thuisgebruikers vooral een kwestie van blootstelling beperken. Zet WPS uit in de routerinstellingen als die optie beschikbaar is, en vraag bij een providerrouter na of de fabrikant al een eigen firmware-update heeft klaarstaan. Een algemene, voor alle apparaten werkende oplossing is er op dit moment niet.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt u een providerrouter of ander apparaat met een oudere Broadcom wifi-chip? Een patch bestaat niet. Schakel WPS uit in de routerinstellingen als die optie beschikbaar is en vraag bij uw provider na of er al een eigen firmware-update klaarstaat.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.