Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers
The Hacker News · 19 oct, 08:29
Qué hacer: Reemplaza los routers basados en chips Broadcom eCos antiguos (BCM3380, BCM3383, BCM33834) o, en dispositivos más recientes, cambia el software Wi-Fi a hostapd si es posible.
Una vulnerabilidad no parcheada en el software de configuración Wi-Fi de Broadcom permite a atacantes dentro del alcance de radio ejecutar código como root en routers basados en Broadcom, sin necesidad de contraseña ni emparejamiento previo, según reveló el investigador de seguridad Quentin Kaiser el 16 de octubre. El fallo afecta a millones de dispositivos en todo el mundo, especialmente routers antiguos basados en eCos que nunca serán parcheados (calificados como «forever day»), y Broadcom se ha negado a asignar un CVE o hacer público el problema desde 2018.
El fallo reside en la implementación Broadcom del estándar Wi-Fi Protected Setup (WPS), que permite a dispositivos conectarse a redes sin escribir la contraseña. El código maneja incorrectamente el reensamblaje de mensajes WPS fragmentados, permitiendo que un atacante en rango envíe mensajes manipulados que corrompan la memoria del router. Kaiser demostró dos ataques operativos: contra el gateway Askey TCG3000 de Orange Belgium, leyó la contraseña Wi-Fi (PSK) almacenada y se conectó a la red; contra el BBOX3V+ de Proximus, abrió un shell inverso para comando remoto, todo ello mediante frames Wi-Fi sin servidor externo.
El código vulnerable se remonta al menos a 2010. Broadcom envió un parche incompleto en 2018 y aconsejó a fabricantes cambiar a hostapd en lugar de confiar en la corrección. En los chips eCos antiguos (BCM3380, BCM3383, BCM33834) nunca hubo parche funcional, mientras que en modelos Linux más recientes (BCM3390, BCM65xx, BCM68xx) sí sería posible si los fabricantes cambiaran de software Wi-Fi. Kaiser estima cientos de miles de gateways afectados solo en Bélgica, de proveedores como Proximus, Orange Belgium y VOO.
Puntos clave
- Chips Broadcom BCM3380, BCM3383, BCM33834 y BCM3390, BCM65xx, BCM68xx afectados; eCos antiguos nunca serán parcheados
- Sin CVE asignado; Broadcom rechaza publicar o registrar el fallo desde 2018
- Ataque sin autenticación ni acceso a la contraseña de red, solo requiere estar en rango de radio
- Kaiser proporciona reglas YARA y script para identificar firmware vulnerable; la opción práctica es reemplazar el equipo