1つのパーサー、2つの脆弱性、多数のルーター：eCosとLinuxをまたぐBroadcom WiFiの悪用
Broadcomの独自WPS実装は少なくとも2010年から悪用可能で、2018年のパッチは大多数のルーターをカバーしていなかった。Quentin Kaiserはベルギーの4つのISPのうち3つでリモートコード実行を実証し、該当デバイスは今も未パッチのままである。
日本語
コピー
写真：Hasan Almasi、unsplash より
これは 2026 年 10 月 16 日、パリの Hexacon で行った講演の詳細版です。
一般向けの解説ページを https://qkaiser.github.io/broadcom-wps/ に「WPSplinter」という名前で公開しています。デザイナー名の脆弱性が嫌いなのは私も同じですが、一般向けのサイトが必要だったのです。メールに一件ずつ返信するだけでは足りません。
Hacker News のトップページに掲載されました。マナーを守ってください。
Broadcom の 802.11 独自実装には脆弱性があり、少なくとも 2010 年から SDK に存在している。2018 年、Broadcom は不完全なパッチをひっそりとリリースし、その後 hostapd への移行を推奨した。その結果、eCos プラットフォーム（BCM3380、BCM3383、BCM33834）では確実に forever day となり、Linux プラットフォーム（BCM3390、BCM65xx、BCM68xx）でも、影響を受ける OEM が移行しない限り forever day となる可能性が高い。
この脆弱性は WiFi 経由でリモートからトリガーでき、ネットワークキーを知る必要も、通常の WPS 登録手続きを完了する必要もない。悪用すると、制御された情報漏洩と任意コード実行が可能になる。
影響は世界数十社のベンダー、数百の製品、数百万台の Broadcom ベースのアクセスポイントに及ぶ。影響を受けるベンダーとデバイスをすべて洗い出すため、フィンガープリント用スクリプトと YARA ルールを公開した。影響範囲の記録に協力してほしい。
Broadcom 自身の回答によれば、同社は 2018 年からこのバグを把握しており、外部機関からも関連情報を受け取っていた。それでも CVE の割り当てを拒否し、公開の説明も拒んでいる。多くの OEM がパッチを当てていないのは、おそらくこれが理由だ。
私はこの脆弱性がベルギーのインターネットサービスプロバイダー 4 社のうち 3 社で実際に存在し、悪用可能であることを実証した。対象は Proximus（BBOX 3V+）、VOO（Netgear CG3100、Netgear CG3700、Technicolor 7210、CGA4233）、Orange（ASKEY TCG3000）だ。Telenet は Sagemcom F@st デバイス経由で影響を受けている可能性があるが、実機を入手できなかった。
2026 年 10 月 15 日時点で、影響を受けるこれらのデバイスにパッチは一つも当たっていない。つまりベルギーでは相当数のルーターで、通りの向こう側から root シェルが取れてしまう。他の地域でもおそらく同じだ。
デモ
以下の動画では、Orange Belgium の CPE（ASKEY TCG3000）を攻撃対象にしている。この脆弱性を使えば未認証のリモートコード実行が可能で、実行した任意の shellcode が NVRAM から PSK を取り出し、802.11 経由で攻撃者に送り返す。最後に、漏洩したキーでネットワークに接続し、ターゲットが安定して動作していて PSK も正しいことを示す。
アンテナの距離に惑わされないでほしい。この攻撃は遠距離でも成立する。
次の動画では、Proximus の CPE（BBOX3V+、別名 Sagemcom F@st）を使っている。この脆弱性により、認証なしでリモートコード実行が可能になる。802.11 フレーム経由でリバースシェルを取得しているので、クラウド C2 は不要だ！
講演スライド
講演のスライドはこちら。agentic な脆弱性研究、Broadcom の eCos と Linux ベースの 802.11 パーサ実装、脆弱性そのもの、悪用プリミティブ、脆弱性の連鎖、サプライチェーンセキュリティ、影響を受ける機器を扱っている。
ざっくりした見積もり
友人である Sol と二人で、IBPT が公開したデータと、ここ数年 ISP がモデルリリースについて公に語ってきた内容をもとに、ナプキンに数字を走り書きして見積もった。この数字への自信は中程度だ。これがインターネットに出回ったあとは、ISP 側から影響を受ける機器の正確な台数が示されるようになることを願っている。
| ISP | ユーザー数 | 影響を受けるゲートウェイの推定台数 | 影響を受けるモデル |
|---|---|---|---|
| Proximus | 2.318.000 | 850.000 | BBOX 3, BBOX3V+ |
| VOO（旧設備群） | ~500.000 | 500.000 | Netgear CG3100, Netgear CG3700, Technicolor TC7210, CGA4233 |
| Orange Belgium | ~547.000 | 210.000 | ASKEY TCG3000 |
| Telenet | ~1.758.000 | ? | F@ST3896LG（未確認）, F@ST5685LGB（未確認） |
開示のタイムライン
厳格な 90 日開示ポリシーに従っており、起点は 2026 年 7 月 18 日に報告書を送付した時点だ。2026 年 10 月 16 日には、各関係者に開示期限を通知した。
これより短い期限を設けたくなかったのは、ISP にとって不公平だからだ。いわゆる「vulnpocalypse」を思えば開示期限をもっと短くすべきなのは確かだが、それでもそうしなかった。同じ理由で、期限の延長もしない。ベンダーや ISP は過去にもこの種の延長を悪用し、結局は部分的な緩和策が 9 か月後、あるいはそれ以上たってから展開されるだけに終わっている。
- 2026/07/18 - Broadcom PSIRT に KS-20260718-02 報告書を送付（BCM3380、BCM3383、BCM33834 の WPS EAP 再アセンブリオーバーフロー）
- 2026/07/27 - Broadcom PSIRT に KS-20260727-01 報告書を送付（BCM3390、BCM65xx、BCM68xx の WPS EAP 再アセンブリオーバーフロー）
- 2026/07/28 - Broadcom から返信。パッチは既にあるとのこと。影響を受ける機器を見つけたらメーカーに連絡し、メーカーから Broadcom に連絡させるよう指示された。
- 2026/07/29 - Broadcom にフォローアップ。CVE の登録を拒否され、Broadcom Customer Portal を通じて OEM に送った通知のコピーも提供を拒否された。
- 2026/07/29 - Proximus の CVD フォームから詳細な報告書を送付
- 2026/07/29 - Orange Belgium との連絡を試みる
- 2026/07/29 - VOO との連絡を試みる（現在は Orange 傘下だが、どうなることやら）
- 2026/07/29 - Cyber Security Center Belgium に報告書とツールキットを送付し、応答のない ISP への連絡を依頼
- 2026/07/29 - Proximus から完全な報告書の提供を求められ、送付
- 2026/08/04 - VINCE 経由で CERT/CC にケースを起票。Broadcom は CVE Numbering Authority でありながら CVE の登録を拒んでいるため、ケースは当日中にクローズされた。
- 2026/08/18 - Orange Belgium の CISO が LinkedIn で私をフォローするようになった。Orange からの返信は依然としてない。
- 2026/08/25 - Proximus PSIRT のアナリストとフォローアップ通話
- 2026/10/16 - パリの Hexacon で講演
関係各所への通知はできる限りのことをした。だが現時点で、影響を受けるベンダーや ISP が何をしたのかは一切把握していない。わかっているのは、2026 年 10 月 15 日時点でこれらの機器にまだパッチが当たっていないということだけだ。
しかもこれはベルギーに限った話ではない。影響を受けるベンダーはもっと大きな市場に製品を供給している。
要点
複雑さと引き換えに安全性を買うというやり方は、もう通用しない。 この研究は自分一人でもできたが、数か月はかかっただろう。AI のフロンティアモデルを使えば、1 週間もかからなかった。これは良いことだ。技術インフラのさらに深い層を、ごく低いコストで次々と調べられるようになったのだから。
サポート期間のずれは攻撃者の好機になる。 2010 年に混入したバグは 2018 年にはパッチが出ているのに、OEM が販売するアクセスポイントには依然として残り、2026 年になっても ISP のネットワークで現役で動いている。このバグの賞味期限は実に 16 年。バーでくつろいで Orval を一杯やるくらいの余裕がある。
技術的負債はいずれ清算される。問題は、誰が清算するかだ。 こうした脆弱性は、最近傍攻撃やホテルネットワークへの侵入を好む脅威アクターにとってうってつけだ。高度に標的を絞れ、無線で実行でき、防御側からはほとんど観測できない機器が相手なのだから。トラフィックを操作し、収集するのに十分だ。