Waarom het ertoe doet: Chipfabrikanten leveren voortdurend buggy code, dat op zich is geen nieuws. Wat WPSplinter onderscheidt is dat Broadcom blijkbaar acht jaar geleden wel een fix heeft uitgebracht, maar die fix nooit bij de routers in huishoudens is terechtgekomen. Bovendien hield het ontbreken van een CVE het probleem onzichtbaar voor de advisories en patch‑kanalen waarop routerfabrikanten en ISP’s vertrouwen.
Beveiligingsonderzoeker Quentin Kaiser lichtte de kwetsbaarheid toe op de Hexacon‑conferentie in Parijs op 16 oktober. Hij noemt het WPSplinter, een naam die hij alleen gaf omdat Broadcom weigerde een officiële identificatie toe te kennen.
De fout zit in Broadcoms oude WPS‑code, de functie waarmee je een apparaat kunt verbinden door op een knop op de router te drukken in plaats van een wachtwoord te typen. Die code gaat fout met de manier waarop bepaalde berichten worden uitgewisseld en met de juiste volgorde van die berichten kan een aanvaller het geheugen van de router uitlezen of externe code op het apparaat uitvoeren.
De aanvaller heeft het Wi‑Fi‑wachtwoord of een voltooide WPS‑koppeling niet nodig. Het volstaat binnen radio‑bereik te zijn. Dit is ook niet de WPS‑PIN‑zwakte die in het begin van de jaren 2010 veel aandacht kreeg. Het probleem zit in Broadcoms code, niet in WPS zelf.
De demo’s van Kaiser maken het risico concreet. Op een Askey TCG3000‑gateway geleverd door Orange Belgium haalde zijn exploit de Wi‑Fi‑sleutel uit het NVRAM van het apparaat, stuurde die over de lucht terug en gebruikte hem vervolgens om zich met het netwerk te verbinden. Op een ander apparaat, een Proximus BBOX3V+ van Sagemcom, kreeg hij een remote shell die volledig via Wi‑Fi draaide, zonder dat hij zelf een internetverbinding nodig had. Hij zegt dat de aanval over lange afstanden werkt.
Een detail dat op dit punt niemand zal verrassen… Kaiser zegt dat AI hem hielp de bug in minder dan een week te vinden, werk dat met de hand maanden zou hebben gekost. Routerfirmware werd vroeger deels beschermd door obscuriteit en doordat het uitpluizen omslachtig was. Dat is niet langer het geval, voor onderzoekers en aanvallers.
Kaiser bevestigde de bug op gateways van drie van België’s vier grote ISP’s: Proximus, Orange en VOO. Volgens zijn telling gaat het om ongeveer 1,5 miljoen kwetsbare apparaten in België alleen. Maar routers die op dezelfde Broadcom‑chips zijn gebouwd, worden wereldwijd verkocht. Zijn lijst met getroffen modellen — die hij zegt niet compleet te hebben — bevat apparatuur van Cisco, TP‑Link, Netgear, Sagemcom, Nokia, ZTE en Zyxel, ingezet door ISP’s zoals Movistar, Optus, KPN en Türk Telekom. Dat zou een wereldwijde schatting in de lage honderden miljoenen kunnen opleveren.
Toen Kaiser de bug in juli meldde, zei Broadcom dat het er sinds 2018 van op de hoogte was, sindsdien de oude WPS‑code in zijn software had vervangen, en dat hij het met apparaatfabrikanten moest bespreken. Kaiser zegt dat de patch uit 2018 voor de oude code in elk geval onvolledig was. Broadcom weigerde ook een CVE aan te vragen en noemde de code verouderd en buiten zijn ondersteuningsvenster.
Op Hacker News voeren sommigen aan dat de schuld ligt bij routerfabrikanten en ISP’s omdat zij nooit bijwerkten. Kaiser’s tegenargument is dat zonder een CVE de waarschuwing waarschijnlijk nooit de toeleveringsketen heeft bereikt.
Het veranderen van je Wi‑Fi‑wachtwoord helpt niet, omdat de aanval plaatsvindt voordat je kunt inloggen. WPS uitschakelen is (altijd) de moeite waard, maar Kaiser waarschuwt dat dat de kwetsbare code mogelijk niet volledig deactiveert. Als je twijfelt over de firmware van de door je ISP geleverde router, is het het beste om de Wi‑Fi van de gateway uit te schakelen, deze in bridge‑modus te zetten en je eigen up‑to‑date router te gebruiken. Kaiser heeft ook een detectiescript op GitHub geplaatst voor wie zijn hardware wil controleren.
Nog een laatste detail dat op dit punt niemand zal verrassen. Kaiser zegt dat AI‑hulpmiddelen hem hielpen de bug in minder dan een week te vinden, werk dat met de hand maanden zou hebben gekost. Routerfirmware werd vroeger deels beschermd door obscuriteit en door hoe omslachtig het uitpluizen was. Dat is niet langer het geval, voor onderzoekers of aanvallers.
