一个解析器，两个漏洞，众多路由器：跨eCos与Linux利用Broadcom WiFi

# 一个解析器，两个漏洞，无数路由器：跨 eCos 与 Linux 利用 Broadcom WiFi 来源：https://quentinkaiser.be/security/2026/10/16/one-parser-two-bugs/ horizon图片由 Hasan Almasi 提供（https://unsplash.com/@hasanalmasi），发布于 unsplash（https://unsplash.com/photos/gray-and-white-brick-tunnel-3DlYPd91ln4） *本文是我于 2026 年 10 月 16 日在巴黎 Hexacon 大会上所作演讲的长文版本（https://www.hexacon.fr/conference/speakers/#one_parser_two_bugs）。* 一个影响 Broadcom 专有 802.11 实现的漏洞，自至少 2010 年起就已存在于其 SDK 中（https://github.com/shantanugoel/asus-rt-n66u-merlin/blob/ede220728e1eb417b4cc88912738b4311abdc088/release/src-rt/wps/common/ap/ap_eap_sm.c#L4）。2018 年 Broadcom 静默发布了一个不完整的补丁，随后建议改用 `hostapd`，这使得该漏洞在基于 eCos 的平台（BCM3380、BCM3383、BCM33834）上成为永久日（forever day）漏洞，在 Linux 平台（BCM3390、BCM65xx、BCM68xx）上则成为潜在的永久日漏洞，除非受影响的原始设备制造商（OEM）愿意迁移。 该漏洞可通过 WiFi 远程触发，无需知晓网络密钥，也无需完成正常的 WPS 注册流程。利用该漏洞可实现受控的信息泄露和任意代码执行。 该漏洞影响数十家厂商、数百种产品，以及全球数百万台基于 Broadcom 的接入点。为了找出所有受影响的厂商和设备，我提供了一个指纹识别脚本和 YARA 规则（https://github.com/qkaiser/broadcom-wps/），欢迎大家帮助我记录影响范围。 据 Broadcom 自己的回应，他们自 2018 年起就已知晓此漏洞，也从其他外部机构处收到过相关信息。然而他们拒绝为该漏洞分配 CVE，也拒绝公开披露，这可能是许多 OEM 未打补丁的原因。 我证明了该漏洞在比利时四家互联网服务提供商（ISP）中的三家存在且可被利用，包括 Proximus（BBOX 3V+）、VOO（Netgear CG3100、Netgear CG3700、Technicolor 7210、CGA4233）和 Orange（ASKEY TCG3000）。Telenet 可能也受到 Sagemcom F@st 设备的影响，但我未能拿到实物。 截至 2026 年 10 月 15 日，这些受影响的设备均未打上补丁。这意味着你可以在街上隔着一定距离获取比利时相当比例路由器的 root shell——其他地方恐怕也一样。 ### 演示 在下面的视频中，我利用了一台 Orange Belgium 的 CPE（ASKEY TCG3000）。该利用获得了未认证的远程代码执行权限，我执行的任意 shellcode 从 NVRAM 中获取 PSK，并通过 802.11 将其发送回攻击者。最后，我使用泄露的密钥加入网络，以证明目标设备稳定且 PSK 正确。 您的浏览器不支持内嵌视频。 别被天线的近距离所误导——此攻击在远距离下同样有效。 --- 在下面的视频中，我利用了一台 Proximus 的 CPE（BBOX3V+，即 Sagemcom F@st）。该利用获得了未认证的远程代码执行权限。我利用这一能力通过 802.11 帧获取反向 shell，无需云端 C2！ 您的浏览器不支持内嵌视频。 ## 幻灯片 我的演讲幻灯片可在此处获取（https://quentinkaiser.be/assets/qkaiser-broadcom-wps-hexacon-2026.pdf），内容涵盖 AI 驱动的漏洞研究、Broadcom 基于 eCos 和 Linux 的 802.11 解析实现、漏洞本身、利用原语、漏洞链、供应链安全以及受影响的设备。 ## 估算 我和朋友 Sol 根据 IBPT 发布的数据以及 ISP 多年来的机型发布公告做了一些粗略估算。我对这些数字的信心为中等；希望 ISP 在此事曝光后能公布受影响设备的确切数量。 | ISP | 订户数 | 估计受影响网关数 | 受影响型号 | |---|---|---|---| | Proximus | 2,318,000 | 850,000 | BBOX 3、BBOX3V+ | | VOO（旧设备） | ~500,000 | 500,000 | Netgear CG3100、Netgear CG3700、Technicolor TC7210、CGA4233 | | Orange Belgium | ~547,000 | 210,000 | ASKEY TCG3000 | | Telenet | ~1,758,000 | ？ | F@ST3896LG（待确认）、F@ST5685LG（待确认） | ## 披露时间线 我遵循了严格的 90 天披露政策，倒计时自 2026 年 7 月 18 日发送报告之日起开始。所有相关方均被告知披露截止日期为 2026 年 10 月 16 日。 我没有使用更短的时间线，因为那对 ISP 不公平，尽管"漏洞末日"（vulnpocalypse）确实应该推动我们缩短披露周期。同样，我也没有给予延长的截止期限，因为厂商和 ISP 过去曾滥用延期，最终仅在 9 个月甚至更久之后才部署了部分缓解措施。 - **2026/07/18** — 向 Broadcom PSIRT 发送 KS-20260718-02 报告（BCM3380、BCM3383、BCM33834 上的 WPS EAP 重组溢出） - **2026/07/27** — 向 Broadcom PSIRT 发送 KS-20260727-01 报告（BCM3390、BCM65xx、BCM68xx 上的 WPS EAP 重组溢出） - **2026/07/28** — Broadcom 回复称补丁已可用，如果我发现受影响的设备，应联系制造商并告知他们联系 Broadcom。 - **2026/07/29** — 跟进 Broadcom。他们拒绝注册 CVE，也拒绝提供通过 Broadcom Customer Portal 发给 OEM 的通知副本。 - **2026/07/29** — 通过 CVD 表单向 Proximus 发送详细报告 - **2026/07/29** — 尝试与 Orange Belgium 建立联系 - **2026/07/29** — 尝试与 VOO 建立联系（现已并入 Orange，但以防万一） - **2026/07/29** — 向 Cyber Security Center Belgium 发送报告和工具包，以便其联系不响应的 ISP。 - **2026/07/29** — Proximus 请求获取完整报告，我发送了。 - **2026/08/04** — 我通过 VINCE 在 CERT/CC 提交了工单。由于 Broadcom 是 CVE 编号机构（CNA）且不愿注册 CVE，工单当天即被关闭。 - **2026/08/18** — Orange Belgium 的 CISO 在 LinkedIn 上关注了我。Orange 仍未回复。 - **2026/08/25** — 与 Proximus PSIRT 分析师的跟进通话。 - **2026/10/16** — 在巴黎 Hexacon 上发表演讲 所以我已尽最大努力通知所有相关方。截至目前，我尚不了解受影响厂商和 ISP 所采取的措施。我唯一知道的是，截至 2026 年 10 月 15 日，所有这些设备仍然缺少补丁。 而且这**不仅仅**局限于比利时。受影响的制造商服务于更广泛的市场。 ## 关键要点 **通过复杂性实现的安全性已经死了。** 尽管我可以独立完成这项研究，但可能需要数月才能做到。借助 AI 前沿模型，我不到一周就完成了。这是一件好事，因为我们能以极低成本深入审视技术基础设施中越来越深的层次。 **支持周期的差异就是攻击者的机会。** 一个 2010 年引入的 bug，2018 年发布了补丁，到 2026 年仍然存在于 OEM 销售的接入点中，并活跃部署在 ISP 的网络里。这个 bug 的"保质期"已达 16 年——它完全可以在酒吧里来一杯上好的 Orval 啤酒了。 **我们的技术债终将被清算——由谁来清算？** 这类漏洞非常适合那些热衷于最近邻攻击（Nearest-Neighbour Attacks）（https://www.volexity.com/blog/2024/11/22/the-nearest-neighbor-attack-how-a-russian-apt-weaponized-nearby-wi-fi-networks-for-covert-access/）或酒店网络入侵（https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/）的威胁行为者。高度定向、无线传输、针对防御者可见性极有限的设备，可实现流量操纵和数据收集。