Technisch liegt der Fehler in der Art, wie Broadcoms Code fragmentierte WPS-Setup-Nachrichten wieder zusammensetzt. Ein Angreifer in Reichweite kann präparierte Nachrichten senden und so den Speicher des Routers korrumpieren. Darauf aufbauend entwickelte Kaiser zwei Bausteine: eine Möglichkeit, Speicherinhalte vom Gerät auszulesen, und eine Möglichkeit, eigenen Code darauf auszuführen.

Die Angriffe demonstrierte er an Heim-Gateways von drei belgischen Internetanbietern. Beim Orange-Belgium-Gateway Askey TCG3000 las der Exploit das WLAN-Passwort (den PSK) aus den gespeicherten Einstellungen des Routers aus, übertrug es per Funk zurück und trat anschließend damit dem Netz bei. Beim Proximus-Gateway BBOX3V+ von Sagemcom öffnete der Exploit eine Reverse Shell, also eine entfernte Kommandozeile, die über WLAN-Frames transportiert wird — ein externer Server war dafür nicht nötig. Beide Angriffe liefen ohne Anmeldung, und sie funktionieren laut Kaiser auch auf Distanz, nicht nur in unmittelbarer Nähe. Angriffe in freier Wildbahn sind ihm nicht bekannt; die funktionsfähigen Exploits stammen von ihm selbst.

Betroffene Geräte

Broadcoms WPS-Code steckt in Routern und Access Points von dutzenden Herstellern; Kaiser schätzt, dass weltweit Millionen Geräte betroffen sind. Die verwundbaren Chips teilt er in zwei Familien:

  • ältere eCos-basierte Modelle (BCM3380, BCM3383, BCM33834): Hier fand er keinen brauchbaren Fix und bezeichnet den Fehler als dauerhaften “Forever Day” — eine Lücke, die auf diesen Geräten nie geschlossen werden wird.
  • neuere Linux-basierte Modelle (BCM3390, BCM65xx, BCM68xx): Diese ließen sich beheben, wenn die Hersteller auf eine andere WLAN-Software umsteigen.

In Belgien fand Kaiser die Lücke auf Gateways von drei der vier großen Anbieter vorhanden und ausnutzbar: Proximus, Orange Belgium und VOO. Ein vierter Anbieter, Telenet, könnte ebenfalls betroffen sein, konnte aber mangels Testgerät nicht geprüft werden. Die von ihm genannten Stückzahlen pro belgischem Anbieter liegen nach eigener Angabe im Bereich mehrerer hunderttausend Gateways, sind aber grobe Schätzungen.

Eine breitere Liste, die er veröffentlichte und die von Cisco-Access-Points für kleine Unternehmen bis zu Routern von Huawei und ARRIS reicht, mischt bestätigte und unbestätigte Einträge; einige beruhen auf einer automatisierten Prüfung, die ein Gerät lediglich als “wahrscheinlich verwundbar” markiert.

Kein Patch, kein CVE

Der Fehler ist alt: Kaiser verfolgt den Code bis mindestens 2010 zurück. Broadcom habe 2018 einen unvollständigen Fix ausgeliefert und Kunden anschließend empfohlen, statt auf diesen Fix zu setzen auf ein anderes WLAN-Softwarepaket namens hostapd zu wechseln. Für die älteren eCos-Chips sei nie ein funktionierender Fix erschienen — daher die Einordnung als Forever Day.

Eine CVE-Nummer, über die Verteidiger und Hersteller eine Schwachstelle nachverfolgen können, existiert nicht. Nach Kaisers Darstellung teilte Broadcom ihm mit, man kenne den Fehler seit 2018 und habe auch von anderer Seite davon gehört, wolle aber weder eine CVE registrieren noch sich öffentlich äußern. Darin sieht Kaiser den Grund, warum so viele Gerätehersteller nie gepatcht haben. Seine Meldung an das CERT Coordination Center wurde noch am selben Tag geschlossen, weil Broadcom als CNA selbst die Hoheit über CVE-Vergaben für seine Produkte hat und davon keinen Gebrauch machen wollte. Mit Stand 19. Oktober existiert keine CVE zu der Lücke.

Was Verteidiger tun können

Es gibt keinen Patch zum Einspielen, und Kaiser nennt auch keine Einstellung, die den Angriff über die Luftschnittstelle blockiert. Stattdessen stellt er Hilfsmittel zum Auffinden betroffener Geräte bereit:

  • YARA-Regeln, die den verwundbaren Code in extrahierter Firmware erkennen,
  • ein Skript, das einen laufenden Access Point abhört und meldet, ob er verwundbar erscheint.

Beides sei nur eine Vorsortierung, betont er: Auch ein gepatchtes Gerät könne auf die Regeln anschlagen, ein Treffer sei daher ein Anlass zur weiteren Prüfung, kein bestätigter Befund. Für Geräte, die nie einen Fix erhalten werden, bleibt praktisch nur der Austausch.

Kaiser hält den Fehler für besonders geeignet für Angreifer, die ihr Ziel über nahegelegene WLANs statt über das Internet erreichen — eine Technik, die russische staatliche Hacker genutzt haben, um Netzwerke von der anderen Straßenseite aus zu kompromittieren.