באג בן 16 שנה בשבבי Wi-Fi של Broadcom מאפשר להשתלט על נתבים בלי סיסמה
חוקר אבטחה חשף פרצה ברכיב ה-WPS הוותיק של Broadcom, שמאפשרת לתוקף בטווח הקליטה להריץ קוד על הנתב ולשלוף ממנו את סיסמת הרשת. Broadcom סירבה להנפיק לה CVE, והתיקונים לא מגיעים.
TL;DR בקצרה
- החוקר קוונטין קייזר הציג ב-16 באוקטובר חולשה ברכיב ה-WPS של Broadcom, שקיים בקוד שלה לפחות מ-2010.
- התוקף צריך רק להיות בטווח ה-Wi-Fi: בלי סיסמת רשת, בלי לחיצה על כפתור ובלי פעולה של המשתמש.
- בהדגמה נשלפה סיסמת ה-Wi-Fi מזיכרון הנתב והושגה בו שליטה מלאה.
- Broadcom סירבה להנפיק CVE, ונכון ל-15 באוקטובר אף מכשיר שהחוקר זיהה לא קיבל עדכון.
חולשה ברכיב ה-WPS של Broadcom מאפשרת להריץ קוד על נתבים בלי לדעת את סיסמת הרשת. מי שיושב בטווח הקליטה של ה-Wi-Fi שלכם עשוי להסתפק בזה כדי להשתלט על הנתב. זה יכול להיות אדם ברחוב, בלובי של הבניין או בחדר הסמוך במלון.
החוקר קוונטין קייזר (Quentin Kaiser) הציג את החולשה ב-16 באוקטובר בכנס Hexacon בפריז. לדבריו, היא קיימת בקוד של Broadcom לפחות מ-2010. Broadcom סירבה להנפיק לחולשה מספר CVE. לפי החוקר, אף אחד מהמכשירים שזיהה עוד לא קיבל עדכון.
WPSplinter: איך מנגנון חיבור ישן של Broadcom הופך לשליטה בנתב
WPS הוא המנגנון שמאפשר לחבר מכשיר לרשת בלחיצת כפתור על הנתב, בלי להקליד סיסמה. במהלך התהליך הנתב מקבל הודעות שמגיעות בכמה חלקים. הוא מרכיב אותן מחדש. לפי קייזר, הרכיב הישן של Broadcom שאחראי לכך, WPS Monitor, לא בודק שההודעה אחרי ההרכבה נכנסת בשטח הזיכרון שהנתב הקצה לה.
התוצאה היא גלישת זיכרון, סוג פרצה קלאסי. הפרצה מאפשרת לתוקף לדלות מידע מהזיכרון ואף להריץ קוד משלו.
החולשה, שהחוקר כינה WPSplinter, נגישה עוד לפני שתהליך ה-WPS מסתיים. התוקף לא צריך את מפתח הרשת. הוא לא צריך שמישהו ילחץ על כפתור, ולא צריך שהמשתמש יעשה דבר. מספיק להיות בטווח הקליטה, ולדברי קייזר המתקפה עובדת גם ממרחק גדול.
בהדגמה שלו התוקף שלף את סיסמת ה-Wi-Fi מזיכרון הנתב. הוא השתמש בה כדי להצטרף לרשת. אחר כך פתח ערוץ שליטה שמתנהל כולו דרך מסגרות Wi-Fi, בלי שרת באינטרנט שאפשר לזהות או לחסום.
מיליוני נתבים של Broadcom, ותיקון שלא מגיע
הרכיב קיים בשבבים של Broadcom משתי משפחות. הראשונה היא מכשירים שמבוססים על מערכת eCos, כמו BCM3380, BCM3383 ו-BCM33834. השנייה היא מכשירים מבוססי Linux, כמו BCM3390 ומשפחות BCM63xx, BCM65xx ו-BCM68xx.
בדף הפרויקט מופיעה רשימה חלקית של דגמים שעשויים להיות פגיעים. בהם נתבים ונקודות גישה לעסקים קטנים של Cisco מסדרות RV ו-WAP, ונתבי TP-Link מסדרת Archer. הרשימה כוללת גם מכשירים של Netgear, Huawei, ZTE, Zyxel, Nokia, Sagemcom ו-Technicolor. החוקר מדגיש שהוא לא בדק כל דגם ברשימה. הוא מוסיף שהתאמה של שבב לבדה לא מוכיחה פגיעות.
כדי להמחיש את ההיקף, קייזר העריך בחישוב גס שבבלגיה לבדה חשופים מעל 1.5 מיליון נתבים של ספקיות האינטרנט Proximus, VOO ו-Orange. בעולם, לדבריו, הנתונים הם עשרות יצרנים, מאות מוצרים ומיליוני מכשירים.
הבעיה הגדולה היא שרשרת התיקון. קייזר דיווח ל-Broadcom ביולי. החברה השיבה שיש תיקון ושהיצרנים צריכים לפנות אליה. היא סירבה להנפיק CVE, המספר המזהה שבעזרתו צוותי IT ומערכות ניהול חולשות עוקבים אחרי פרצות. גם CERT/CC, מרכז התיאום האמריקאי לאירועי אבטחה, סגר את הפנייה באותו יום.
Broadcom כבר הוציאה ב-2018 תיקון חלקי. היא המליצה ליצרנים לעבור לרכיב אחר בשם hostapd. במכשירי eCos הישנים אין לפי החוקר דרך תיקון בכלל. הוא מכנה זאת forever day, חולשה שנשארת פתוחה לעולם.
יש כאן גם נקודה על AI. לדברי קייזר, מודלי בינה מלאכותית מתקדמים עזרו לו למצוא את הבאגים בפחות משבוע. בלעדיהם העבודה הייתה נמשכת חודשים. אם זה נכון לחוקר, זה נכון גם לתוקפים.
הנתב הוא בדיוק המכשיר שכמעט אף אחד לא בודק את הקושחה שלו. כך מציין Security Affairs. זה נכון גם לצוותי אבטחה בארגונים.
מה זה אומר עבורכם
- זהו את הנתב: בדקו את הדגם על המדבקה שבגב המכשיר והשוו לרשימה בדף הפרויקט. זה חל גם על נתב שקיבלתם מספקית האינטרנט.
- שאלו את הספק בכתב: פנו לספקית או ליצרן. בקשו אישור שהקושחה העדכנית סוגרת את החולשה ברכיב ה-WPS של Broadcom. במכשירים ישנים מבוססי eCos, בקשו החלפה לדגם חדש.
- אל תסתמכו על כיבוי WPS: לפי החוקר, ההגדרה בממשק לא בהכרח מנטרלת את הרכיב הפגיע. אפשר לכבות, אבל זה לא תיקון.
- אחרי העדכון, סיסמאות חדשות: בהדגמה התוקף שלף את סיסמת ה-Wi-Fi עצמה. לכן אחרי שהתקנתם קושחה שסוגרת את החולשה, החליפו גם אותה וגם את סיסמת הניהול של הנתב.
- בעסק, אל תסמכו על הרשת האלחוטית: הפרידו בין רשת האורחים לרשת העבודה. חברו מחשבים ושרתים רגישים בכבל או ברשת בפני עצמה. צוותי IT יכולים להיעזר בסקריפט ובכללי YARA שפרסם החוקר כדי למפות ציוד פגיע.
מה הלאה
הפרסום הגיע אחרי 90 יום של ניסיונות גילוי מסודר. קייזר מתאר אותם כ״מבוי סתום, עם תיעוד״. מעכשיו הכדור אצל היצרנים וספקיות האינטרנט. כדאי לעקוב אם יפרסמו עדכוני קושחה בשבועות הקרובים.
מי שמחזיק נתב ישן במיוחד צריך להניח שעדכון כזה לא יגיע, ולתכנן החלפה.
מקורות והרחבה
- 16-Year-Old Broadcom Wi-Fi Bug Lets Attackers Take Over Routers Without a PasswordSecurity Affairs
- One Parser, Two Bugs, Many Routers: Exploiting Broadcom WiFi Across eCos and LinuxQuentin Kaiser
- WPSplinter: Broadcom WPSQuentin Kaiser
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
