El error está en el WPS y permite leer la clave Wi-Fi
La falla se ubica en la versión de Broadcom del Wi-Fi Protected Setup (WPS), la función que permite a un dispositivo unirse a una red inalámbrica sin tipear la contraseña. El código de la compañía maneja de forma defectuosa el reensamblado de mensajes fragmentados del WPS, de modo que un atacante en rango puede enviar mensajes manipulados y corromper la memoria del router. A partir de ahí, Kaiser construyó dos herramientas: una para leer memoria del equipo y otra para ejecutar código propio.
Dos equipos belgas, dos demostraciones distintas
Contra un gateway de Orange Belgium, el modelo Askey TCG3000, el exploit leyó la contraseña Wi-Fi (la PSK) de la configuración almacenada, la devolvió por el aire y se unió a la red con ella. Contra un gateway de Proximus, el Sagemcom BBOX3V+, la explotación abrió una reverse shell —una línea de comandos remota— transportada en tramas Wi-Fi, sin necesidad de un servidor externo. Ambas corridas funcionaron sin login previo y a distancia, no solo de cerca, según el investigador.
Millones de dispositivos y dos familias de chips
El código WPS de Broadcom está embebido en routers y puntos de acceso de decenas de fabricantes, y Kaiser estima que millones de dispositivos en el mundo están afectados. Los chips vulnerables se dividen en dos familias: los modelos antiguos basados en eCos (BCM3380, BCM3383 y BCM33834), donde no encontró corrección usable y califica el bug como un "forever day" imposible de parchear; y los más nuevos basados en Linux (BCM3390, BCM65xx y BCM68xx), que podrían corregirse si sus fabricantes cambian el software Wi-Fi.
Sin CVE, sin parche y con herramientas de detección
No se asignó ningún CVE a la falla ni se desplegó corrección en los routers afectados. Kaiser sostiene que Broadcom le dijo que conoce el problema desde 2018, pero que no quiso registrar un CVE ni pronunciarse públicamente, lo que a su juicio explica por qué tantos fabricantes nunca parchearon. Cuando llevó el caso al CERT Coordination Center, este se cerró el mismo día porque Broadcom tiene la autoridad para asignar CVEs a sus productos y se negó a hacerlo. The Hacker News no encontró CVE para la falla al 19 de octubre.
No hay parche para instalar ni configuración que bloquee el ataque por el aire, según el investigador. Lo que ofrece son reglas YARA para detectar el código vulnerable en firmware extraído y un script que escucha un punto de acceso activo e informa si parece vulnerable. Ambos son auxiliares de triaje: un equipo parcheado puede coincidir con las reglas, por lo que un resultado positivo obliga a verificar más. Para el equipamiento que nunca se corregirá, la opción práctica es el recambio.