Falha sem correção em chips Wi-Fi da Broadcom permite ataques com acesso root a roteadores

Uma vulnerabilidade no software Wi-Fi da Broadcom permite que invasores executem códigos com privilégios de root em roteadores e pontos de acesso sem conhecer a senha da rede ou realizar qualquer procedimento de autenticação. A falha foi divulgada em 16 de outubro pelo pesquisador de segurança Quentin Kaiser e pode afetar milhões de dispositivos em todo o mundo.

O ataque exige apenas que o invasor esteja dentro do alcance do sinal Wi-Fi do equipamento. Durante os testes, Kaiser demonstrou a exploração da vulnerabilidade em roteadores fornecidos por operadoras de internet da Bélgica, conseguindo extrair senhas de redes sem fio e estabelecer acesso remoto aos dispositivos.

Segundo o pesquisador, a vulnerabilidade ainda não possui identificação CVE e nenhuma correção foi disponibilizada aos roteadores afetados. Também não há registros conhecidos de exploração em ataques reais.

Falha no WPS permite execução remota de código

A vulnerabilidade está na implementação do Wi-Fi Protected Setup (WPS) desenvolvida pela Broadcom. O recurso facilita a conexão de dispositivos a redes sem fio sem exigir a digitação manual da senha.

O problema ocorre no processamento e na remontagem de mensagens WPS fragmentadas. Ao transmitir mensagens especialmente manipuladas, um invasor dentro do alcance da rede consegue provocar corrupção de memória no roteador.

A partir dessa condição, Kaiser desenvolveu duas técnicas de exploração: uma para extrair informações da memória do equipamento e outra para executar códigos arbitrários com privilégios administrativos.

Em um roteador Askey TCG3000, utilizado pela Orange Belgium, o pesquisador conseguiu recuperar a senha Wi-Fi (PSK) armazenada nas configurações do dispositivo, transmiti-la pelo sinal sem fio e posteriormente conectar-se à rede.

Já no BBOX3V+, fabricado pela Sagemcom e distribuído pela Proximus, a exploração permitiu estabelecer uma reverse shell, oferecendo acesso remoto à linha de comando do roteador.

Nesse segundo cenário, a comunicação ocorreu diretamente por quadros Wi-Fi, dispensando servidores externos para controlar o dispositivo comprometido.

Ambos os ataques foram realizados sem autenticação e, segundo Kaiser, podem funcionar a distâncias consideráveis, desde que o invasor permaneça dentro do alcance do sinal.

Milhões de roteadores podem estar vulneráveis

O código WPS da Broadcom está incorporado a roteadores e pontos de acesso comercializados por dezenas de fabricantes. Kaiser estima que milhões de equipamentos possam apresentar a vulnerabilidade.

A investigação identificou duas famílias principais de chipsets afetados:

• BCM3380, BCM3383 e BCM33834: modelos antigos baseados no sistema operacional eCos, para os quais não existe uma correção funcional conhecida.

• BCM3390, BCM65xx e BCM68xx: modelos mais recentes baseados em Linux, que poderiam receber uma correção mediante a substituição do software responsável pelo gerenciamento Wi-Fi.

Nos dispositivos antigos, o pesquisador classifica o problema como forever day, expressão utilizada para vulnerabilidades que provavelmente permanecerão sem correção durante toda a vida útil dos equipamentos.

Na Bélgica, a exploração foi confirmada em roteadores de três das quatro principais operadoras: Proximus, Orange Belgium e VOO. A Telenet também pode estar exposta, mas seus equipamentos não foram testados.

Uma relação mais ampla publicada pelo pesquisador inclui dispositivos de fabricantes como Cisco, Huawei e ARRIS. Entretanto, a lista reúne equipamentos com vulnerabilidade confirmada e outros classificados apenas como potencialmente afetados por verificações automatizadas.

As estimativas indicam centenas de milhares de roteadores vulneráveis por operadora belga, embora Kaiser ressalte que esses números são aproximados.

Broadcom conhece o problema desde 2018, segundo pesquisador

A origem da vulnerabilidade remonta a pelo menos 2010, quando o código afetado já estava presente no software da Broadcom.

De acordo com Kaiser, a fabricante disponibilizou uma correção incompleta em 2018 e posteriormente orientou seus clientes a migrar para outro pacote de software Wi-Fi, chamado hostapd.

Nos chipsets antigos baseados em eCos, entretanto, nenhuma solução funcional teria sido disponibilizada.

O pesquisador afirma que a Broadcom reconheceu conhecer a vulnerabilidade desde 2018, inclusive por notificações anteriores, mas não publicou um comunicado de segurança nem registrou um identificador CVE.

Kaiser acredita que essa ausência de divulgação contribuiu para que diversos fabricantes de roteadores não corrigissem o problema.

O caso também foi encaminhado ao CERT Coordination Center, mas acabou encerrado no mesmo dia. Segundo o pesquisador, isso ocorreu porque a Broadcom possui autoridade para atribuir identificadores CVE aos próprios produtos e não realizou o registro.

Como identificar dispositivos vulneráveis

Atualmente, não existe uma atualização de segurança disponível para os equipamentos afetados nem uma configuração específica indicada pelo pesquisador capaz de impedir a exploração pelo sinal Wi-Fi.

Para auxiliar na identificação dos dispositivos, Kaiser disponibilizou regras YARA que permitem localizar o código vulnerável em firmwares extraídos dos equipamentos.

Também foi publicado um script capaz de analisar pontos de acesso Wi-Fi em funcionamento e indicar possíveis condições de vulnerabilidade.

Essas ferramentas, entretanto, são destinadas à triagem. Um equipamento corrigido ainda pode apresentar correspondência com as regras, exigindo verificações adicionais antes de confirmar a exposição.

Para dispositivos que não receberão atualizações, a substituição do hardware é considerada a alternativa prática.

O pesquisador destaca que a vulnerabilidade pode ser particularmente útil em operações nas quais invasores se aproximam fisicamente das instalações de uma organização para comprometer redes sem fio.

Esse tipo de abordagem já foi utilizado por hackers associados ao governo russo, que exploraram conexões Wi-Fi a partir de locais próximos às organizações atacadas.