一个解析器，两个漏洞，众多路由器：跨 eCos 与 Linux 利用博通 WiFi

本文是我在 2026 年 10 月 16 日巴黎 Hexacon 演讲的完整文字版。

面向普通公众的文档页面已发布在 https://qkaiser.github.io/broadcom-wps/，名为“WPSplinter”。我和你们一样讨厌这种设计师风格的名字，但我需要一个面向普通公众的站点。一封封回邮件解决不了问题。

我们上了 Hacker News 首页，请大家保持文明。

Broadcom 对 802.11 的专有实现中存在一个漏洞，至少从 2010 年起就存在于其 SDK 中。2018 年，Broadcom 悄悄放出了一个不完整的补丁，随后建议改用 hostapd，这让它在 eCos 平台（BCM3380、BCM3383、BCM33834）上成了板上钉钉的 forever day，在 Linux 平台（BCM3390、BCM65xx、BCM68xx）上也可能是 forever day，除非受影响的原始设备制造商（OEM）愿意迁移。

该漏洞可通过 WiFi 远程触发，无需知道网络密钥，也无需完成正常的 WPS 注册流程。利用该漏洞可实现受控的信息泄露和任意代码执行。

它影响全球数十家厂商、数百款产品、数百万台基于 Broadcom 的接入点。为了找出所有受影响的厂商和设备，我提供了指纹识别脚本和 YARA 规则，希望你能帮我记录影响范围。

根据 Broadcom 自己的回应，他们从 2018 年起就知道这个 bug，也从其他外部机构收到过相关信息。但他们拒绝为这个漏洞分配 CVE，也拒绝公开说明——这很可能就是那么多 OEM 没有打补丁的原因。

我证明了该漏洞在比利时 4 家互联网服务提供商中的 3 家确实存在且可利用，包括 Proximus（BBOX 3V+）、VOO（Netgear CG3100、Netgear CG3700、Technicolor 7210、CGA4233）和 Orange（ASKEY TCG3000）。Telenet 可能通过 Sagemcom F@st 设备受影响，但我没能拿到一台。

截至 2026 年 10 月 15 日，这些受影响的设备无一得到修补。这意味着，在比利时相当一部分路由器上，隔着一条街就能拿到 root shell，其他地区很可能也一样。

演示

在下面的视频中，我利用的是一台 Orange Belgium 的 CPE（ASKEY TCG3000）。该漏洞可获得未认证的远程代码执行，我执行的任意 shellcode 会从 NVRAM 中取出 PSK，再通过 802.11 发回给攻击者。最后，我用泄露的密钥接入网络，以证明目标运行稳定、PSK 正确。

演示：隔空攻陷 Orange Belgium 的 ASKEY TCG3000未认证的远程代码执行，随后用 shellcode 把 PSK 从 NVRAM 里取出来，再经 802.11 回传。

别被天线距离骗了。这种攻击在远距离同样有效。

在下面的视频中，我利用的是一台 Proximus CPE（即 BBOX3V+，也称 Sagemcom F@st）。该漏洞可获得未认证的远程代码执行。我借此通过 802.11 帧获得反向 shell，因此无需云端 C2！

演示：对 Proximus 的 BBOX3V+（Sagemcom F@st）用同一套利用用远程代码执行经 802.11 帧开一个反向 shell，不需要云端 C2。

演讲幻灯片

我演讲的幻灯片在这里，内容涵盖 agentic 漏洞研究、Broadcom 的 eCos 与基于 Linux 的 802.11 解析实现、漏洞本身、利用原语、漏洞串联、供应链安全以及受影响的设备。

粗略估算

我和朋友 Sol 用 IBPT 公布的数据，以及这些年 ISP 关于型号发布的公开说法，在餐巾纸上做了些估算。我对这些数字只有中等程度的信心；等这件事上了互联网，希望 ISP 们能开始说明确切的受影响设备数量。

ISP	用户数	估计受影响的网关数	受影响型号
Proximus	2.318.000	850.000	BBOX 3, BBOX3V+
VOO（旧设备群）	~500.000	500.000	Netgear CG3100, Netgear CG3700, Technicolor TC7210, CGA4233
Orange Belgium	~547.000	210.000	ASKEY TCG3000
Telenet	~1.758.000	?	F@ST3896LG（待确认）, F@ST5685LGB（待确认）

披露时间线

我遵循严格的 90 天披露政策，计时从 2026 年 7 月 18 日发出报告时开始。2026 年 10 月 16 日，我通知了各方披露截止日期。

我不想采用更短的时限，因为那对 ISP 来说不公平，尽管所谓的“vulnpocalypse”确实应该推动我们缩短披露时限。同样，我也不想给出延长的截止日期，因为厂商和互联网服务提供商过去滥用过这种延期，结果只是让部分缓解措施在 9 个月甚至更久之后才部署。

2026/07/18 - 向 Broadcom PSIRT 发送 KS-20260718-02 报告（BCM3380、BCM3383、BCM33834 上的 WPS EAP 重组溢出）
2026/07/27 - 向 Broadcom PSIRT 发送 KS-20260727-01 报告（BCM3390、BCM65xx、BCM68xx 上的 WPS EAP 重组溢出）
2026/07/28 - Broadcom 回复称已有补丁，并称如果我找到受影响的设备，应联系制造商，让制造商去联系 Broadcom。
2026/07/29 - 跟进 Broadcom。他们拒绝注册 CVE，也拒绝提供他们通过 Broadcom Customer Portal 发给 OEM 的通知副本。
2026/07/29 - 通过 Proximus 的 CVD 表单向其发送详细报告
2026/07/29 - 尝试与 Orange Belgium 建立联系
2026/07/29 - 尝试与 VOO 建立联系（它现在属于 Orange，但谁知道呢）
2026/07/29 - 向 Cyber Security Center Belgium 发送报告和工具包，以便他们联系不回应我的 ISP。
2026/07/29 - Proximus 请求获取完整报告，我发了过去。
2026/08/04 - 我通过 VINCE 在 CERT/CC 开了一个案例。由于 Broadcom 是 CVE Numbering Authority 且不愿注册 CVE，该案例当天即关闭。
2026/08/18 - Orange Belgium 的 CISO 现在在 LinkedIn 上关注我了。Orange 仍然没有回复。
2026/08/25 - 与 Proximus PSIRT 分析师进行跟进通话。
2026/10/16 - 在巴黎 Hexacon 演讲

我尽了最大努力通知相关各方。但到目前为止，我对受影响厂商和 ISP 采取了哪些措施一无所知。我只知道，截至 2026 年 10 月 15 日，这些设备全都还没打上补丁。

而且这并不局限于比利时。受影响的厂商服务的是更大的市场。

要点

靠复杂性换安全，这条路已经走不通了。 这项研究我自己也能做，但得花上几个月。借助 AI 前沿模型，我用了不到一周。这是好事，因为我们现在能以极低的成本，一层一层往技术基础设施的更深处查。

支持周期的差异就是攻击者的机会。 一个 2010 年引入的 bug，补丁 2018 年就发布了，却仍然存在于原始设备制造商销售的接入点中，2026 年还在 ISP 的网络里实际运行。这个 bug 的保质期因此长达 16 年。它完全可以在酒吧里悠闲地喝上一杯 Orval。

技术债总会被清算，问题是谁来清算。 这类漏洞对喜欢搞最近邻攻击或酒店网络入侵的威胁行为者来说再合适不过：高度定向、通过无线方式实施，针对的又是防御方几乎无从观测的设备，足以操纵和收集流量。