博通Wi-Fi「WPSplinter」16年老漏洞曝光：邻近攻击者可免密以root权限接管路由器，部分旧芯片永久无法修补

資安研究員 Quentin Kaiser 16 日揭露「WPSplinter」漏洞，問題出在博通（Broadcom）自家 Wi-Fi 軟體的 Wi-Fi 保護設定（WPS）功能。攻擊者只要位於無線訊號範圍內，無須知道 Wi-Fi 密碼，也不必完成 WPS 配對程序，就能以最高 root 權限在路由器執行任意程式碼。這段有問題的程式碼至少可追溯至 2010 年，已存在 16 年。
WPS 原是讓使用者不必手動輸入密碼就能讓裝置連上無線網路的便利功能。Kaiser 指出，博通的程式在重組分段傳送的 WPS 訊息時處理不當，攻擊者可送出特製訊息觸發緩衝區溢位、破壞記憶體，進而讀取裝置記憶體內容或執行自訂程式碼，整個過程路由器使用者完全不需要做任何操作。
Kaiser 以比利時電信業者提供的閘道器實際示範攻擊。Orange Belgium 採用的亞旭（Askey）TCG3000 從記憶體讀出 Wi-Fi 密碼並用無線電波回傳，再用這組密碼加入網路；Proximus 採用、Sagemcom 製造的 BBOX3V+ 直接以 Wi-Fi 訊框開啟反向 shell，連外部伺服器都不需要。他也用 VOO 提供的 Netgear 與 Technicolor 路由器發現同樣問題。據他粗估，比利時受影響的閘道器包括 Proximus 約 85 萬台、VOO 約 50 萬台、Orange Belgium 約 21 萬台，合計約 156 萬台。博通 Wi-Fi 技術已被數十家廠商用於數百款產品，全球受影響裝置恐達數百萬台。
（Source：Quentin Kaiser）
更棘手的是修補問題。Kaiser 表示，博通早在 2018 年就知道這個漏洞，當時推出不完整的修補且未公開說明，只建議廠商改用開放原始碼軟體 hostapd。採用 eCos 系統的舊款晶片 BCM3380、BCM3383、BCM33834 找不到可用的修補方式，他形容為永遠無法修補的「forever day」漏洞；採用 Linux 的 BCM3390、BCM65xx、BCM68xx 系列，則須仰賴設備商更換 Wi-Fi 軟體才能解決。
Kaiser 今年 7 月通報博通，博通回覆已有修補，並要他自行聯繫受影響廠商，但拒絕申請 CVE 編號。他轉向 CERT/CC 求助，案件卻因博通本身就是 CVE 編號授權單位（CNA）且不願登記該漏洞而遭結案。截至 10 月 15 日，他找到的受影響設備都未收到更新。
Kaiser 表示目前尚未發現實際攻擊案例，但攻擊者只要待在住家或辦公室附近，就可能入侵路由器、竊取網路憑證或干擾流量。泰國電腦緊急應變小組（ThaiCERT）建議使用者確認設備型號，留意廠商或電信業者的韌體更新，若屬無法修補的產品線，應考慮汰換。Kaiser 也釋出 YARA 規則與偵測指令碼協助辨識受影響設備，但提醒已修補的裝置仍可能符合規則，需進一步確認。他還提到，借助 AI 模型，原本需耗時數月的研究，不到一週就完成。
（首圖來源：博通）