В роутерах с Wi-Fi-чипами Broadcom обнаружили уязвимость возрастом 16 лет, позволяющую захватить устройство без знания пароля от беспроводной сети. Производитель пытался исправить ошибку ещё в 2018 году, однако под угрозой до сих пор могут находиться миллионы маршрутизаторов.
Исследователь безопасности Квентин Кайзер (Quentin Kaiser) продемонстрировал работающие атаки на оборудование бельгийских интернет-провайдеров Proximus, VOO и Orange Belgium. В одном из экспериментов специалист получил возможность выполнять собственный код на роутере, извлёк из памяти пароль Wi-Fi и передал его по беспроводному каналу. Затем Кайзер подключился к сети с украденными учётными данными, подтвердив успешность взлома.
Самая неприятная особенность уязвимости заключается в отсутствии необходимости подключаться к защищённой сети. Злоумышленнику достаточно находиться в зоне действия Wi-Fi и отправить маршрутизатору специально подготовленные служебные сообщения. Владелец не должен нажимать никаких кнопок, открывать ссылки или подтверждать подключение. Атаку можно провести с улицы, из соседнего помещения или другого места, откуда доступен радиосигнал.
Проблема получила название WPSplinter и затрагивает программную реализацию беспроводной связи Broadcom, присутствующую в комплекте разработчика как минимум с 2010 года. По оценке Кайзера, уязвимые компоненты используют десятки производителей в сотнях моделей оборудования. Потенциальное количество затронутых точек доступа по всему миру исчисляется миллионами, хотя точных данных о масштабах распространения пока нет.
Только в Бельгии исследователь оценил число потенциально уязвимых устройств примерно в 1,56 млн. На Proximus приходится около 850 тысяч маршрутизаторов BBOX 3 и BBOX3V+, на VOO ещё 500 тысяч устройств Netgear и Technicolor, на Orange Belgium около 210 тысяч ASKEY TCG3000. Кайзер подчёркивает, что расчёты приблизительные и основаны на открытой статистике операторов. Возможное присутствие проблемы в оборудовании Telenet пока не подтверждено.
Причина уязвимости скрывается в обработке сообщений Wi-Fi Protected Setup (WPS). Технологию разработали для быстрого подключения устройств к беспроводной сети без ручного ввода длинного пароля. Пользователь может нажать специальную кнопку на роутере или воспользоваться PIN-кодом. Однако для работы WPS маршрутизатор должен обрабатывать определённые служебные сообщения ещё до завершения обычной процедуры подключения.
Кайзер обнаружил две ошибки в механизме обработки фрагментированных сообщений WPS. Когда служебные данные приходят несколькими частями, программное обеспечение Broadcom собирает их в единое сообщение, но некорректно контролирует границы выделенной памяти. Специально сформированные пакеты позволяют записывать информацию за пределами предназначенного буфера и повреждать внутренние структуры программы.
Исследователь сумел превратить повреждение памяти в полноценный механизм захвата управления. Сначала эксплуатация ошибки позволяет получить сведения о расположении данных в памяти роутера, затем изменить служебные указатели и заставить устройство выполнить посторонний код. Таким образом, проблема выходит далеко за пределы обычного обхода пароля Wi-Fi. Атакующий получает возможность управлять самим маршрутизатором, через который проходит сетевой трафик.
В демонстрации против ASKEY TCG3000 Кайзер извлёк пароль беспроводной сети из энергонезависимой памяти устройства и отправил его атакующему по Wi-Fi. На другом маршрутизаторе, Proximus BBOX3V+, исследователь получил командную оболочку с удалённым доступом, используя для обмена данными непосредственно беспроводные кадры. Для управления скомпрометированным оборудованием не потребовался даже отдельный сервер в интернете.
Успешный захват маршрутизатора создаёт возможности для перехвата доступного устройству трафика, изменения сетевых настроек и дальнейших атак на подключённые системы. Однако конкретные последствия зависят от конфигурации оборудования и используемых протоколов. Например, наличие доступа к роутеру само по себе не означает, что злоумышленник сможет прочитать содержимое соединений, защищённых корректно работающим сквозным шифрованием.
Особенно сложная ситуация сложилась с устройствами на старых платформах Broadcom BCM3380, BCM3383 и BCM33834, использующих операционную систему eCos. Кайзер считает уязвимость практически неисправимой для значительной части такого оборудования и называет её forever-day. Под термином подразумевают ошибку безопасности, для которой пользователи могут так и не получить исправление из-за устаревшей программной платформы или прекращения поддержки.
Риск сохраняется и для более новых платформ BCM3390, BCM65xx и BCM68xx под управлением Linux. В данном случае производители оборудования потенциально могут устранить проблему, отказавшись от закрытой реализации Broadcom в пользу открытого программного компонента hostapd, который управляет беспроводными точками доступа. Однако переход требует изменений в прошивках конкретных моделей, поэтому наличие Linux само по себе не гарантирует защиты.
История исправления началась задолго до нынешней публикации. Согласно исследованию Кайзера, Broadcom знала о проблеме как минимум с 2018 года и тогда выпустила частичное исправление без публичного раскрытия уязвимости. Позднее компания рекомендовала производителям использовать hostapd вместо собственного программного компонента. Тем не менее старый уязвимый код продолжил работать в устройствах, которые операторы предоставляют абонентам.
18 июля 2026 года Кайзер направил Broadcom первый технический отчёт об ошибке на платформах eCos, а 27 июля передал дополнительные сведения о реализации под Linux. Исследователь установил 90-дневный срок для устранения проблемы до публичного раскрытия 16 октября. За отведённое время специалист также уведомил затронутых интернет-провайдеров и бельгийские органы кибербезопасности.
28 июля Broadcom ответила, что исправление доступно, и предложила обращаться непосредственно к производителям оборудования. На следующий день компания отказалась присваивать уязвимости идентификатор CVE и предоставлять исследователю копию уведомления, которое, по её словам, было отправлено партнёрам через закрытый портал. Кайзер считает отсутствие публичного бюллетеня одной из возможных причин, по которым многие производители не обновили свои устройства.
4 августа исследователь попытался привлечь к вопросу CERT Coordination Center через платформу координированного раскрытия уязвимостей VINCE. Обращение закрыли в тот же день, поскольку Broadcom самостоятельно уполномочена присваивать идентификаторы CVE и ранее отказалась регистрировать проблему. В результате WPSplinter была публично раскрыта без общепринятого номера уязвимости, который обычно помогает производителям и администраторам отслеживать исправления.
16 октября Кайзер представил результаты на конференции Hexacon в Париже. По состоянию на 15 октября ни одно из выявленных им уязвимых устройств не получило исправление. Исследователь также опубликовал инструменты для определения потенциально затронутых прошивок, чтобы специалисты могли уточнить перечень производителей и моделей. При этом сведений о мерах, которые провайдеры могли принять после публичного раскрытия, у него пока нет.
Подтверждённых случаев использования WPSplinter злоумышленниками в реальных атаках исследователь не представил. Однако практическая эксплуатация уже продемонстрирована на нескольких моделях маршрутизаторов, а для нападения не требуется доступ через интернет. Подобные особенности делают уязвимость потенциально привлекательной для целевых атак на домашние и корпоративные сети, гостиницы и другие объекты, где посторонний может приблизиться к беспроводной точке доступа.
Отключение WPS, которое обычно рекомендуют для защиты Wi-Fi, не следует считать гарантированным исправлением WPSplinter. Ошибка находится в программном компоненте, обрабатывающем служебные сообщения, поэтому результат зависит от того, действительно ли прошивка прекращает работу уязвимого обработчика. Надёжный пароль WPA2 или WPA3 также не устраняет ошибку в коде маршрутизатора. Владельцам потенциально затронутого оборудования необходимо проверять наличие обновлений у производителя или провайдера, а для устройств без поддержки рассматривать замену.
Отдельного внимания заслуживает роль искусственного интеллекта в исследовании. Кайзер утверждает, что современные ИИ-модели помогли ему выполнить работу менее чем за неделю, хотя без такой поддержки анализ закрытого программного обеспечения мог занять несколько месяцев. Речь идёт не об автоматическом взломе роутеров нейросетью, а об ускорении поиска и анализа ошибок. По мнению специалиста, снижение трудозатрат на исследование сложных программных компонентов позволит находить больше давно забытых уязвимостей.
История Broadcom показывает, насколько долго ошибки могут сохраняться внутри оборудования после появления исправления у разработчика исходного компонента. Между производителем чипа, создателем маршрутизатора, интернет-провайдером и конечным пользователем находится несколько звеньев поставки программного обеспечения. Если хотя бы одно из них прекращает поддержку, уязвимость способна пережить не только отдельные версии прошивок, но и целые поколения сетевых устройств.