WPS-Router-Schwachstelle verschafft Angreifern in der Nähe root access
Eine WPS-Router-Schwachstelle in der Wi-Fi-Software von Broadcom ermöglicht es einer Person innerhalb der Funkreichweite, ohne Kenntnis des Netzwerkpassworts und ohne Abschluss eines Kopplungsvorgangs Code mit root privileges, der höchsten Kontrollstufe auf dem Gerät, auszuführen. Ein Sicherheitsforscher legte die Schwachstelle am 16. Oktober offen, nachdem er sie an Heim-Gateways demonstriert hatte, die von drei belgischen Internetanbietern bereitgestellt wurden. Es wurde keine CVE-Kennung zugewiesen, und dem Forscher zufolge wurde für die betroffenen Router keine Korrektur bereitgestellt.
Die Schwachstelle betrifft Broadcoms Implementierung von Wi-Fi Protected Setup (WPS), einer Funktion, mit der Geräte mit einem drahtlosen Netzwerk verbunden werden können, ohne dessen Passwort manuell einzugeben. Während der Einrichtung können WPS-Nachrichten in einzelnen Fragmenten eintreffen, die der Router zusammensetzen muss. Die Software verarbeitet diesen Zusammenbau fehlerhaft, sodass speziell präparierte, über Wi-Fi gesendete Nachrichten den Speicher des Routers beschädigen können. Der Forscher nutzte diese Schwachstelle sowohl zum Abrufen von Daten aus dem Speicher als auch zum Ausführen zusätzlichen Codes auf einem angegriffenen Gerät.
Eine Demonstration richtete sich gegen ein von Orange Belgium bereitgestelltes Askey-TCG3000-Gateway. Der Exploit erlangte den Wi-Fi pre-shared key (PSK), also das vom Router gespeicherte Passwort, übertrug ihn über die drahtlose Verbindung zurück und verwendete ihn anschließend, um dem Netzwerk beizutreten. Auf einer von Sagemcom hergestellten und von Proximus bereitgestellten BBOX3V+ erzeugte der Exploit eine reverse shell, also eine entfernte Kommandozeile, über die das Gerät gesteuert werden konnte. Diese Verbindung lief über Wi-Fi frames, die kleinen Einheiten zur Übertragung drahtloser Kommunikation, und benötigte keinen externen Server.
Beide Demonstrationen funktionierten ohne Anmeldung. Der Forscher erklärte außerdem, dass der Angriff nicht auf eine sehr geringe räumliche Entfernung beschränkt sei, obwohl ein Angreifer sich weiterhin innerhalb der Funkreichweite befinden müsste. Die funktionsfähigen Exploits wurden vom Forscher entwickelt, der keine Hinweise darauf meldete, dass die Schwachstelle bei realen Angriffen eingesetzt wurde.
Der betroffene Code ist in Routern und wireless access points enthalten, die von Dutzenden Anbietern verkauft werden. Der Forscher schätzt, dass Millionen Geräte betroffen sein könnten, doch die veröffentlichte Geräteliste weist unterschiedliche Gewissheitsgrade auf. Einige Einträge sind bestätigt, während andere nicht direkt getestet oder durch eine automatisierte Prüfung als wahrscheinlich anfällig eingestuft wurden. In Belgien erwies sich die Schwachstelle auf Gateways von Proximus, Orange Belgium und VOO, drei der vier großen Anbieter des Landes, als ausnutzbar. Geräte von Telenet könnten ebenfalls betroffen sein, der Forscher konnte sie jedoch nicht testen. Die geschätzten Gesamtzahlen für jeden betroffenen belgischen Anbieter erreichen Hunderttausende Gateways, wobei der Forscher diese Zahlen als grobe Schätzungen bezeichnete.
Die anfälligen Chipsets werden in ältere eCos-basierte und neuere Linux-basierte Familien unterteilt. Zur älteren Gruppe gehören BCM3380, BCM3383 und BCM33834. Der Forscher fand für diese Modelle keine brauchbare Korrektur und bezeichnet die Schwachstelle als forever day, also als Sicherheitslücke, die voraussichtlich während der gesamten Lebensdauer der betroffenen Hardware ungepatcht bleiben wird. Die neueren Familien BCM3390, BCM65xx und BCM68xx könnten potenziell korrigiert werden, wenn die Gerätehersteller auf eine andere Wi-Fi-Software umsteigen.
Der Forscher verfolgte den anfälligen Code mindestens bis ins Jahr 2010 zurück. Nach Angaben des Forschers veröffentlichte Broadcom 2018 eine unvollständige Korrektur und riet Kunden anschließend, die betroffene Wi-Fi-Komponente durch hostapd zu ersetzen, ein anderes Softwarepaket für den Betrieb von wireless access points. Für die älteren eCos-Chips wurde laut dem Forscher keine funktionsfähige Korrektur ausgeliefert.
Es gibt außerdem keinen Common Vulnerabilities and Exposures (CVE)-Eintrag, die standardisierte Kennung zur Nachverfolgung einer öffentlich bekannten Sicherheitslücke. Dem Forscher zufolge erklärte Broadcom, das Unternehmen kenne das Problem seit 2018 und habe von anderen Parteien Informationen dazu erhalten, werde jedoch weder eine CVE zuweisen noch eine öffentliche Stellungnahme abgeben. Der Forscher ist der Ansicht, dass das Fehlen einer öffentlichen Kennung dazu beitrug, dass Gerätehersteller keine Korrekturen herausgaben. Als der Fall beim CERT Coordination Center eingereicht wurde, wurde er noch am selben Tag geschlossen, weil Broadcom befugt ist, CVEs für seine Produkte zuzuweisen, aber keine erstellen wollte. The Hacker News fand mit Stand vom 19. Oktober keine CVE für die Schwachstelle.
Derzeit gibt es keinen Patch, den Nutzer installieren können, und der Forscher identifizierte keine Router-Einstellung, die den over-the-air attack blockiert. Die verfügbaren Erkennungsressourcen sind für technische Untersuchungen und nicht für direkten Schutz bestimmt. Veröffentlichte YARA rules können extrahierte firmware, also die in einem Router gespeicherte Software, nach dem anfälligen Code durchsuchen. Ein separates Script kann den Datenverkehr eines funktionierenden access point überwachen und melden, ob dieser anfällig zu sein scheint. Der Forscher warnt, dass beide Methoden lediglich triage tools sind: Auch korrigierte Geräte können noch einen Treffer erzeugen, weshalb ein Ergebnis weiter untersucht werden muss und für sich allein nicht bestätigt, dass ein Gerät ausnutzbar ist.
Für Organisationen, die betroffene Netzwerkgeräte bewerten und deren Austausch planen, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an. Besitzer von Geräten, die keine funktionsfähige Korrektur erhalten können, müssen sie möglicherweise ersetzen. Kunden, die von ihrem Anbieter bereitgestellte Gateways verwenden, sollten ihren Internetanbieter fragen, ob ihr genaues Modell und ihre Software betroffen sind.