ИИтог

Исследователь: в WiFi-коде Broadcom брешь с 2010 года, CVE не выдан

безопасностьРедакция ИИтогHacker News🔥68Рейтинг ИИтог68Влияние72Новизна70Релевантность75Неожиданность65Участники40Достоверность82

Автор блога quentinkaiser.be опубликовал расширенную версию доклада, прочитанного 16 октября 2026 года на конференции Hexacon в Париже. Речь об уязвимости в проприетарной реализации 802.11 (WiFi) от Broadcom: по словам автора, она присутствует в SDK компании как минимум с 2010 года. Это переполнение буфера при сборке пакетов WPS EAP (в отчётах, «WPS EAP reassembly overflow»). Её можно запустить удалённо по WiFi, не зная ключа сети и не проходя обычную процедуру WPS-подключения; эксплуатация даёт контролируемое раскрытие информации и выполнение произвольного кода.

В 2018 году Broadcom, по утверждению автора, тихо выпустила неполное исправление, а затем порекомендовала переходить на hostapd. Из-за этого, считает автор, на платформах с eCos (BCM3380, BCM3383, BCM33834) это «вечный день» (forever day), брешь, которую не закроют, а на платформах с Linux (BCM3390, BCM65xx, BCM68xx) она может остаться такой же, если производители оборудования (OEM) не согласятся мигрировать. Масштаб автор оценивает так: десятки вендоров, сотни продуктов, миллионы точек доступа на базе Broadcom по всему миру. Это его утверждение, а не измеренная цифра. Чтобы выявить все затронутые устройства, он выложил скрипт для определения (fingerprinting) и правило YARA и просит помочь очертить «радиус поражения».

По ответу самой Broadcom, как его передаёт автор, компания знала об ошибке с 2018 года и получала сведения о ней от других внешних лиц. Тем не менее она отказалась присвоить уязвимости CVE и публично о ней сообщать. Автор полагает, что именно поэтому многие OEM не выпустили исправление.

На практике автор показал, что уязвимость присутствует и эксплуатируется у 3 из 4 бельгийских интернет-провайдеров: Proximus (BBOX 3V+), VOO (Netgear CG3100, Netgear CG3700, Technicolor 7210, CGA4233) и Orange (ASKEY TCG3000). Telenet, возможно, тоже затронут через устройства Sagemcom F@st, но проверить их автору не удалось. На видео с роутером Orange Belgium шелл-код достаёт из NVRAM ключ сети (PSK) и отправляет его атакующему по 802.11, после чего автор подключается к сети с этим ключом, чтобы показать стабильность цели. На роутере Proximus BBOX3V+ (он же Sagemcom F@st) удалённое выполнение кода использовано для обратного шелла прямо поверх кадров 802.11, так что внешний управляющий сервер (C2) в облаке не нужен. Близость антенны на видео не должна вводить в заблуждение: атака, как утверждает автор, работает на больших расстояниях. По состоянию на 15 октября 2026 года ни одно из затронутых устройств не обновлено. Автор делает вывод: на значительной доле роутеров в Бельгии и, вероятно, за её пределами можно получить root-шелл с другой стороны улицы.

Хронология раскрытия. Автор придерживался строгого 90-дневного срока, отсчёт начался 18 июля 2026 года; все стороны были уведомлены о дате 16 октября. 18 и 27 июля он отправил в PSIRT Broadcom два отчёта (для BCM3380/3383/33834 и для BCM3390/65xx/68xx). 28 июля Broadcom ответила, что исправление есть, а найденным устройствам автору следует писать производителям, чтобы те обратились в Broadcom. 29 июля компания отказалась регистрировать CVE и предоставить копию уведомления OEM через свой клиентский портал. В тот же день автор отправил отчёт Proximus (тот запросил полную версию, и автор её выслал), попытался выйти на Orange Belgium и VOO (VOO, как он отмечает, теперь Orange) и передал отчёт и инструменты в Центр кибербезопасности Бельгии (Cyber Security Center Belgium), чтобы тот связался с молчащими провайдерами. 4 августа открытый в CERT/CC через VINCE случай закрыли в тот же день: Broadcom сама является CVE Numbering Authority и не захотела регистрировать CVE. 18 августа автор отметил, что CISO Orange Belgium подписался на него в LinkedIn, но ответа нет; 25 августа был повторный звонок аналитику PSIRT Proximus. Какие меры принимают вендоры и провайдеры, автору неизвестно.

Срок выбрал сознательно: более короткий был бы несправедлив к провайдерам, хотя «вулнапокалипсис» («vulnpocalypse», термин автора) должен подталкивать к сокращению сроков. Более длинный, по его словам, вендоры и провайдеры уже злоупотребляли, и он приводил лишь к частичным мерам спустя 9 месяцев и больше.

Итоговые выводы автора. Первый: «безопасность через сложность мертва», исследование, на которое у него ушли бы месяцы, с помощью передовых ИИ-моделей заняло меньше недели, и это позволяет заглядывать в глубокие слои инфраструктуры за малую часть прежней цены. Второе: расхождения в сроках поддержки, шанс для атакующего: ошибка 2010 года с исправлением 2018 года всё ещё есть в устройствах, развёрнутых у провайдеров в 2026-м, то есть «срок годности» бреши составляет 16 лет. Третье: технический долг придётся оплачивать, такие уязвимости подходят атакующим, которые используют атаки «ближайшего соседа» или взлом гостиничных сетей: точечно, по воздуху, против устройств, за которыми у защитников очень слабая видимость.

Ключевые факты

  • Уязвимость, переполнение при сборке WPS EAP в проприетарной WiFi-реализации Broadcom; по словам автора, она есть в SDK как минимум с 2010 года, срабатывает удалённо без ключа сети и даёт выполнение произвольного кода.
  • Автор показал уязвимость на устройствах 3 из 4 бельгийских провайдеров (Proximus BBOX 3V+, VOO, Orange ASKEY TCG3000); по состоянию на 15 октября 2026 года ни одно не обновлено.
  • Broadcom, по словам автора, знала об ошибке с 2018 года, выпустила неполное исправление и отказалась присвоить CVE; случай в CERT/CC закрыли в тот же день, 4 августа.
  • Масштаб, десятки вендоров, сотни продуктов, миллионы точек доступа по всему миру, это оценка автора, а не измеренная цифра; он выложил скрипт определения и правило YARA.
  • По словам автора, с передовыми ИИ-моделями исследование заняло меньше недели вместо месяцев.

Почему это важно

Домашние и провайдерские роутеры работают годами, а обновления идут через цепочку: Broadcom, производитель оборудования, провайдер. По описанию автора, она здесь сломалась на первом звене: уязвимость известна компании с 2018 года, но CVE не присвоен, и многие производители, по его мнению, поэтому не выпустили исправление. Без идентификатора CVE труднее отслеживать и закрывать такую брешь. Если оценка автора верна, речь о миллионах устройств, где достаточно оказаться в радиусе WiFi, чтобы получить root без знания пароля сети. К тому же автор называет ошибку «вечным днём» для платформ на eCos. Отдельная линия сюжета: он говорит, что с ИИ-моделями исследование заняло меньше недели вместо месяцев.

Кому это важно

Интернет-провайдерам и производителям роутеров на чипах Broadcom (платформы BCM3380, BCM3383, BCM33834, BCM3390, BCM65xx, BCM68xx). Командам реагирования на инциденты и аналитикам уязвимостей: в тексте есть скрипт определения и правило YARA. Абонентам бельгийских провайдеров Proximus, VOO, Orange Belgium (а возможно, и Telenet), именно на их устройствах автор показал проблему. Отдельно тем, кто следит за практикой раскрытия уязвимостей: история с отказом выдать CVE и закрытым случаем в CERT/CC.

Как это применить

Автор предлагает помочь описать масштаб проблемы: он публикует скрипт определения и правило YARA для поиска затронутых устройств. Они же могут пригодиться защитникам при инвентаризации парка роутеров. Ссылки и подробности работы эксплойта, в слайдах доклада и в самом посте; в тексте код эксплойта не приводится. Конкретного способа защиты для пользователей автор не называет; известно лишь, что на 15 октября 2026 года исправления на упомянутых устройствах нет.

Можно ли доверять

Это личный блог исследователя, он же автор доклада на Hexacon. Все утверждения о масштабе, о знании Broadcom с 2018 года и об отказе выдать CVE подаются с его слов, включая пересказ ответа Broadcom. Демонстрации представлены видео, самого их содержимого в тексте нет. Цифры по числу затронутых устройств автор не приводит, а свою оценку называет достоверной лишь на среднем уровне. Заявлений Proximus, Orange Belgium, VOO, Telenet или производителей о патчах в тексте нет; о том, что уязвимость использовали в реальных атаках, тоже не сказано. Имя автора в тексте не указано.

Риски и подводные камни

Автор признаёт, что не знает о мерах, принятых вендорами и провайдерами, и что проблема не ограничена Бельгией. Раскрытие по истечении 90 дней означает, что подробности стали публичными, а исправлений на упомянутых устройствах по-прежнему нет. Автор указывает на риск прицельных атак «ближайшего соседа» и взлома гостиничных сетей против устройств, за которыми у защитников слабая видимость. Остаётся неясным, закрывает ли патч Broadcom брешь полностью: 2018 год автор называет неполным исправлением. Оценка масштаба, самого автора, поэтому реальные цифры могут оказаться иными.

«Это значит, что можно получить root-доступ с другой стороны улицы на значительной доле роутеров в Бельгии и, вероятно, не только там.»

— Автор блога quentinkaiser.be