1つのパーサー、2つのバグ、多くのルーター：eCos、Linux全体でのBroadcom WiFiの悪用

One Parser, Two Bugs, Many Routers: eCosおよびLinuxにおけるBroadcom WiFiの悪用

［画像: horizon］ Photo by Hasan Almasi on unsplash

この記事は、2026年10月16日にパリで開催されたHexaconカンファレンスで行った私の講演のロングバージョンです。

一般公開用のドキュメントページを「WPSplinter」という名前で https://qkaiser.github.io/broadcom-wps/ に公開しました。デザイナー名による脆弱性名は好きではありませんが、一般公開用のサイトが必要でした。一人一人にメールで返信していては間に合いません。

現在、Hacker Newsのフロントページに掲載されています。皆さん、冷静に対応してください。

編集 2026/10/20: Telenetは公式に影響を受けていません。

802.11のBroadcom製プロプライエタリ実装に存在する脆弱性が、少なくとも2010年からSDKに存在していました。2018年に不完全なパッチが静かにリリースされ、その後SDKの新しいバージョンが登場し、脆弱なコンポーネントがhostapdに置き換えられました。Broadcomはこの新しいSDKバージョンへの移行を推奨しており、eCosベースのプラットフォーム（BCM3380、BCM3383、BCM33834）では決定的な永続的な脆弱性（forever day）となり、Linuxプラットフォーム（BCM3390、BMC63xx、BCM65xx、BCM68xx）では、影響を受けるオリジナル機器メーカー（OEM）が移行しない限り、潜在的な永続的な脆弱性となります。

この脆弱性は、ネットワークキーを知ることなく、また通常のWPS登録を完了することなく、Wi-Fi経由でリモートからトリガーできます。悪用により、制御された情報開示と任意のコード実行が可能になります。

数十のベンダー、数百の製品、そして世界中の数百万台のBroadcomベースのアクセスポイントに影響します。影響を受けているベンダーとデバイスをすべて発見するために、フィンガープリントスクリプトとYARAルールを提供しますので、影響範囲の文書化にご協力ください。

Broadcom自身の回答によると、彼らは2018年からこのバグを認識しており、他の外部エンティティからも情報を受け取っていました。しかし、この脆弱性にCVEを割り当てることや、公にコミュニケーションすることを拒否しました。これが、多くのOEMがパッチを適用しなかった理由である可能性が高いです。

私は、ベルギーのインターネットサービスプロバイダー4社のうち3社（Proximus (BBOX 3V+)、VOO (Netgear CG3100, Netgear CG3700, Technicolor 7210, CGA4233)、Orange (ASKEY TCG3000)）で、この脆弱性が存在し悪用可能であることを実証しました。TelenetはSagemcom F@stデバイスを通じて影響を受ける可能性がありますが、私はそれを入手できませんでした。

2026年10月15日現在、これらの影響を受けているデバイスはどれもパッチが適用されていません。これは、ベルギーのルーターの相当な割合で、おそらく他の場所でも、通りすがりにルートシェルを取得できることを意味します。

2026年10月20日更新。影響を受けている関係者との直接のコミュニケーションに基づき、以下のことを確認できます。

• Telenetは影響を受けていません。彼らのエンジニアは、wps_monitorが実行されている兆候がないか、全機器をチェックし、見つかりませんでした。
• Proximusは、過去24時間で全BBox機器のWPSを無効にしました。数週間以内に完全なパッチ適用を実施する予定で、これはこの規模の通常の展開よりもかなり迅速です。 ProximusのBBOXをお持ちの場合は、安全です。
• Orange Belgiumは積極的に調査中です。また、影響を受けているインフラ全体でWPSを無効にする可能性も分析しています。

今後数日間で、この件に関する公表があるでしょう。ベルギーのメディアは、ドイツ、フランス、スペイン、オランダ、台湾、米国および英国などの他の国と比較して、驚くほど静かです。

デモ

以下のビデオでは、Orange BelgiumのCPE（ASKEY TCG3000）を悪用しています。このエクスプロイトは認証なしでリモートコード実行を可能にし、実行した任意のシェルコードはNVRAMからPSKを取得し、802.11経由で攻撃者に返送します。最後に、漏洩したキーを使用してネットワークに参加し、ターゲットが安定しておりPSKが正しいことを示します。

［動画: Your browser does not support embedded video.］

アンテナの近さに惑わされないでください。この攻撃は長距離でも機能します。

---

以下のビデオでは、ProximusのCPE（BBOX3V+、別名Sagemcom F@st）を悪用しています。このエクスプロイトは認証なしでリモートコード実行を可能にします。この機能を使用して、クラウドのC2サーバーを必要としない802.11フレーム経由の逆シェルを取得します。

［動画: Your browser does not support embedded video.］

スライド

私の講演のスライドはこちらでご覧いただけます。エージェント的な脆弱性リサーチ、802.11パースのBroadcom製eCosおよびLinux実装、バグそのもの、エクスプロイトプリミティブ、チェーン化、サプライチェーンセキュリティ、影響を受けるデバイスについて詳しく説明しています。

推定

IBPTが公開したデータとISPからのモデルリリースに関する公開情報を使用して、友人のSolと簡単な計算を行いました。これらの数値には中程度の信頼性があります。この件がインターネットで話題になったら、ISPが影響を受けるデバイスの正確な数についてコミュニケーションを開始してくれることを願っています。

公開タイムライン

私は厳格な90日間の公開ポリシーに従い、レポートを送信した2026年7月18日に時計が動き始めました。すべての関係者には2026年10月16日の公開期限が通知されていました。

ISPにとって不公平になる可能性があるため、より短いタイムラインを使用することは望みませんでした。しかし、「脆弱性大災害（vulnpocalypse）」は、より短い公開タイムラインへと私たちを駆り立てるべきです。同様に、過去にベンダーやISPによって悪用され、9ヶ月以上経過してから部分的緩和策が展開されただけという事態を避けるため、期限を延長することも望みませんでした。

• 2026/07/18 - Broadcom PSIRTにKS-20260718-02レポートを送信 (BCM3380, BCM3383, BCM33834におけるWPS EAP再構築オーバーフロー)
• 2026/07/27 - Broadcom PSIRTにKS-20260727-01レポートを送信 (BCM3390, BCM65xx, BCM68xxにおけるWPS EAP再構築オーバーフロー)
• 2026/07/28 - Broadcomから、パッチが利用可能であり、影響を受けるデバイスを見つけた場合は製造元に連絡してBroadcomに連絡するよう指示する返信がありました。
• 2026/07/29 - Broadcomにフォローアップ。CVEの登録や、Broadcomカスタマーポータルを通じてOEMに送信した通知のコピーの提供を拒否されました。
• 2026/07/29 - ProximusにCVDフォームを通じて詳細レポートを送信
• 2026/07/29 - Orange Belgiumとの連絡を試みる
• 2026/07/29 - VOO（現在はOrangeだが、念のため）との連絡を試みる
• 2026/07/29 - Cyber Security Center Belgiumにレポートとツールキットを送信し、応答しないISPに連絡できるようにする。
• 2026/07/29 - Proximusが完全なレポートへのアクセスを要求し、送信しました。
• 2026/08/04 - CERT/CCにVINCEを通じてケースを開設。BroadcomがCVE採番機関でありCVE登録を拒否したため、同日にケースは閉じられました。
• 2026/08/18 - Orange BelgiumのCISOがLinkedInでフォローしてきました。Orangeからはまだ返信がありません。
• 2026/08/25 - Proximus PSIRTアナリストとのフォローアップコール。
• 2026/10/16 - パリのHexaconでプレゼンテーション

このように、私は最善を尽くしてすべての人に情報を提供しようとしました。現時点では、影響を受けたベンダーやISPが講じた措置に関する情報は何もありません。私が知っているのは、2026年10月15日現在、これらのデバイスすべてにパッチが適用されていないということです。

そして、これはベルギーに限ったことではありません。影響を受けるメーカーは、より広い市場に製品を供給しています。

主要なポイント

複雑さによるセキュリティは終わった。このリサーチは一人でも可能でしたが、そこに至るまでには数ヶ月かかったでしょう。AIの最先端モデルを使えば、1週間もかかりませんでした。これは良いことです。なぜなら、技術インフラのより深い層を、ごくわずかなコストで調査できるようになるからです。

ウィンドウの不一致は攻撃者の機会。2010年に導入され、2018年にパッチがリリースされたバグが、2026年現在もオリジナル機器メーカーによって販売され、インターネットサービスプロバイダーのネットワークで積極的に展開されているアクセスポイントに存在しています。したがって、このバグの寿命は16年になります。このバグはバーで素敵なOrval（ベルギービール）を楽しめるでしょう。

私たちの技術的負債は回収される。誰によって？ この種の脆弱性は、Nearest-Neighbour Attacksやホテルのネットワーク侵害のような攻撃を好む脅威アクターにとって完璧です。高度に標的化され、無線経由で、防御側がほとんど可視性を持てないデバイスに対して行われ、トラフィックの操作と収集を可能にします。