Una falla nei router WPS offre agli aggressori nelle vicinanze root access
Una falla nei router WPS presente nel software Wi-Fi di Broadcom consente a chiunque si trovi entro la portata radio di eseguire codice con root privileges, il massimo livello di controllo sul dispositivo, senza conoscere la password della rete né completare un processo di pairing. Un ricercatore di sicurezza ha reso pubblica la vulnerabilità il 16 ottobre, dopo averla dimostrata su gateway domestici forniti da tre provider Internet belgi. Non è stato assegnato alcun identificatore CVE e, secondo il ricercatore, sui router interessati non è stata distribuita alcuna correzione.
La vulnerabilità interessa l’implementazione di Broadcom di Wi-Fi Protected Setup (WPS), una funzionalità progettata per collegare i dispositivi a una rete wireless senza inserirne manualmente la password. Durante la configurazione, i messaggi WPS possono arrivare in frammenti separati che il router deve ricomporre. Il software gestisce questa ricomposizione in modo errato, consentendo a messaggi appositamente costruiti e inviati tramite Wi-Fi di corrompere la memoria del router. Il ricercatore ha sfruttato questa debolezza sia per recuperare dati dalla memoria sia per eseguire codice aggiuntivo su un dispositivo preso di mira.
Una dimostrazione ha preso di mira un gateway Askey TCG3000 fornito da Orange Belgium. L’exploit ha ottenuto la pre-shared key (PSK) Wi-Fi, ossia la password memorizzata dal router, l’ha ritrasmessa attraverso la connessione wireless e l’ha poi utilizzata per accedere alla rete. Su un BBOX3V+ prodotto da Sagemcom e fornito da Proximus, l’exploit ha creato una reverse shell, cioè una riga di comando remota attraverso la quale era possibile controllare il dispositivo. Tale connessione viaggiava tramite Wi-Fi frames, le piccole unità utilizzate per trasportare le comunicazioni wireless, e non richiedeva un server esterno.
Entrambe le dimostrazioni hanno funzionato senza login. Il ricercatore ha inoltre affermato che l’attacco non era limitato a una distanza fisica molto ravvicinata, anche se un aggressore dovrebbe comunque trovarsi entro la portata radio. Gli exploit funzionanti sono stati creati dal ricercatore, che non ha segnalato alcuna prova dell’impiego della vulnerabilità in attacchi reali.
Il codice interessato è incorporato in router e wireless access point venduti da decine di produttori. Il ricercatore stima che potrebbero essere coinvolti milioni di dispositivi, ma l’elenco pubblicato presenta diversi livelli di certezza. Alcune voci sono confermate, mentre altre non sono state testate direttamente oppure sono state classificate come probabilmente vulnerabili da un controllo automatizzato. In Belgio, la falla è risultata sfruttabile sui gateway di Proximus, Orange Belgium e VOO, tre dei quattro principali provider del Paese. Anche le apparecchiature di Telenet potrebbero essere interessate, ma il ricercatore non ha potuto testarle. Le stime complessive per ciascun provider belga interessato raggiungono centinaia di migliaia di gateway, sebbene il ricercatore abbia descritto tali cifre come approssimative.
I chipset vulnerabili sono suddivisi in famiglie più vecchie basate su eCos e famiglie più recenti basate su Linux. Il gruppo più vecchio comprende BCM3380, BCM3383 e BCM33834. Il ricercatore non ha trovato alcuna correzione utilizzabile per questi modelli e descrive la vulnerabilità come un forever day, una falla di sicurezza destinata a rimanere senza patch per l’intera vita utile dell’hardware interessato. Le famiglie più recenti BCM3390, BCM65xx e BCM68xx potrebbero potenzialmente essere corrette se i produttori dei dispositivi passassero a un software Wi-Fi diverso.
Il ricercatore ha fatto risalire il codice vulnerabile almeno al 2010. Secondo il suo resoconto, Broadcom ha pubblicato una correzione incompleta nel 2018 e successivamente ha consigliato ai clienti di sostituire il componente Wi-Fi interessato con hostapd, un altro pacchetto software utilizzato per gestire wireless access point. Secondo il ricercatore, per i chip eCos più vecchi non è stata distribuita alcuna correzione funzionante.
Non esiste inoltre alcun record Common Vulnerabilities and Exposures (CVE), l’identificatore standard utilizzato per monitorare una falla di sicurezza nota pubblicamente. Il ricercatore ha affermato che Broadcom gli ha comunicato di essere a conoscenza del problema dal 2018 e di aver ricevuto informazioni al riguardo da altre parti, ma che non avrebbe assegnato un CVE né rilasciato una dichiarazione pubblica. Il ricercatore ritiene che l’assenza di un identificatore pubblico abbia contribuito alla mancata pubblicazione di correzioni da parte dei produttori dei dispositivi. Quando il caso è stato sottoposto al CERT Coordination Center, è stato chiuso lo stesso giorno perché Broadcom dispone dell’autorità per assegnare CVE ai propri prodotti e non intendeva crearne uno. Al 19 ottobre, The Hacker News non aveva trovato alcun CVE relativo alla falla.
Attualmente non è disponibile alcuna patch che gli utenti possano installare e il ricercatore non ha individuato alcuna impostazione del router in grado di bloccare l’attacco over-the-air. Le risorse di rilevamento disponibili sono destinate alle indagini tecniche, non alla protezione diretta. Le YARA rules pubblicate possono esaminare il firmware estratto, ossia il software memorizzato all’interno di un router, alla ricerca del codice vulnerabile. Uno script separato può monitorare un access point in funzione e segnalare se appare vulnerabile. Il ricercatore avverte che entrambi i metodi sono strumenti di triage: anche apparecchiature corrette possono produrre una corrispondenza, quindi il risultato richiede ulteriori verifiche e non conferma da solo che un dispositivo sia sfruttabile.
Per le organizzazioni che valutano apparecchiature di rete interessate e ne pianificano la sostituzione, AEU-I offre servizi IT, infrastrutturali e di consulenza con la sicurezza come priorità. I proprietari di dispositivi che non possono ricevere una correzione funzionante potrebbero doverli sostituire, mentre i clienti che utilizzano gateway forniti dal provider dovrebbero chiedere al proprio provider Internet se il modello e il software esatti in loro possesso sono interessati.