...Belgický bezpečnostní výzkumník Quentin Kaiser odhalil zranitelnost označenou jako WPSplinter, která se v softwaru společnosti Broadcom ukrývá nejméně od roku 2010. Výrobce čipů o ní ví, ale oprava byla neúplná a na části zařízení k ní vůbec nedošlo.
...
Kaiser svůj výzkum představil 16. října na konferenci Hexacon v Paříži. Podle něj může útočník v dosahu Wi-Fi poslat routeru speciálně upravené zprávy a získat tak nad zařízením plnou kontrolu bez znalosti hesla. Majitel routeru s tím přitom nemůže nic udělat ani si ničeho všimnout.
...
Problém tkví v proprietární implementaci funkce WPS (Wi-Fi Protected Setup), která umožňuje připojit zařízení k síti bez ručního zadávání hesla. Broadcom chybně zpracovává skládání fragmentovaných zpráv, které při tomto procesu putují mezi zařízeními. Útočník tak může vyvolat přetečení vyrovnávací paměti a přepsat část paměti routeru. Kaiser vytvořil dvě věci: nástroj pro únik informací z paměti a nástroj pro spuštění vlastního kódu.
Zranitelnost je podle výzkumníka přítomná v SDK společnosti Broadcom nejméně od roku 2010. Kaiser mluví o dvou chybách v jednom parseru, každá se týká jiné rodiny čipů. Podle Kaisera Broadcom o problému ví od roku 2018 a tehdy tiše vydal neúplnou opravu. Pak výrobcům doporučil přejít na open-source software hostapd. Veřejné varování ani identifikátor CVE nevznikly.
Kaiser chybu nahlásil 18. a 27. července a dal všem stranám 90 dní na reakci. Broadcom odpověděl, že oprava existuje a že mají výrobci zařízení kontaktovat přímo jeho. CVE odmítl přidělit a nechtěl vydat ani kopii oznámení, které prý výrobcům poslal. Případ, který Kaiser 4. srpna otevřel u koordinačního centra CERT/CC, byl uzavřen ještě týž den, protože Broadcom je sám oprávněn CVE přidělovat a neudělal to. Server The Hacker News žádné CVE pro tuto chybu nenašel.
Kaiser je přesvědčen, že právě mlčení Broadcomu je důvodem, proč mnoho výrobců zařízení chybu nikdy neopravilo. Kontaktoval také poskytovatele Proximus, Orange Belgium a VOO a předal informace belgickému národnímu centru kybernetické bezpečnosti. K 15. říjnu nedostalo opravu žádné z postižených zařízení.
