Decenas de routers Broadcom vulnerables remotamente desde el 2010

Quentin Kaiser, investigador de seguridad, presentó dos fallos en el analizador de la implementación propietaria de 802.11 de Broadcom en la conferencia Hexacon de París y publicó ese mismo día el análisis técnico completo. Con ellos, alguien al alcance de radio ejecuta código como root sin conocer la contraseña de la red y sin completar ningún emparejamiento.

El fallo no es nuevo ni ajeno a la industria. Broadcom lanzó en 2018 un parche silencioso que tapaba solo una parte del problema y después cambió de rumbo: la versión siguiente de su SDK tiró el componente afectado y lo sustituyó por hostapd, el demonio abierto de las distribuciones de Linux, con la recomendación de migrar. Quien no migró sigue con el código viejo, y en los equipos que corren eCos, un sistema operativo mínimo, no hay a dónde migrar.

El alcance exacto no lo tiene nadie y las cifras que circulan son estimaciones del propio investigador: decenas de fabricantes, cientos de productos y millones de puntos de acceso, con el ataque demostrado en pasarelas domésticas de tres de los cuatro grandes operadores belgas. La diferencia con un CVE corriente está en la salida, porque aquí no hay una versión nueva que instalar en buena parte del parque, sino una decisión de operador que casi nadie ha tomado.

El desbordamiento empieza en un saludo

WPS existe para que nadie teclee una contraseña en un televisor. Se pulsa un botón o se introduce un PIN de ocho dígitos, y el cliente y el punto de acceso intercambian mensajes EAP hasta acordar una clave antes de que el primero esté autenticado.

Esos mensajes admiten fragmentación, así que el emisor trocea los suyos y el punto de acceso los reensambla. Broadcom escribió ese reensamblado a mano en un demonio llamado wps_monitor, dentro de su implementación propietaria de 802.11. Kaiser encontró dos fallos en la validación de la longitud de los fragmentos: el código se fía del tamaño declarado y copia en un búfer interno más bytes de los que caben.

El resultado es divulgación de memoria y escritura controlada, y con esas dos piezas se arma ejecución de código. El demonio corre como root, así que el atacante hereda esos privilegios. No hace falta la clave de la red, ni completar un emparejamiento normal de WPS, ni que alguien pulse un botón: basta con que el equipo anuncie WPS y esté al alcance de la antena.

La cercanía que se ve en los vídeos de la demostración es cosa del montaje de laboratorio, como aclara el propio investigador. En la práctica, el alcance de radio describe una calle, un portal o la habitación de al lado en un hotel.

Un fallo que vive en el SDK y no en el router

El firmware de un router doméstico casi nunca es código propio. El fabricante ensambla una imagen sobre el SDK que compra, le pone su interfaz web y su capa de configuración, y firma el conjunto. La pila inalámbrica llega compilada por Broadcom, así que el fabricante ni ve las líneas donde está el error ni puede reescribirlas.

Broadcom publicó en 2018 un parche incompleto que no cerraba el agujero y después trasladó el problema a sus clientes, que debían adaptar su software. Ahí una actualización de seguridad se convierte en un proyecto de ingeniería que alguien tiene que financiar y validar con su operador.

eCos es un sistema operativo mínimo pensado para aparatos con muy poca memoria, y en esa rama el fallo es irreversible por diseño. En la de Linux la puerta sigue abierta, pero quien tiene que cruzarla es cada fabricante, y nadie ha publicado un calendario.

Lo que Kaiser consiguió en Bélgica

Sobre la pasarela ASKEY TCG3000 que Orange Bélgica entrega a sus clientes, su exploit ejecuta un código que lee la clave del Wi-Fi desde la memoria NVRAM y la devuelve al atacante en tramas 802.11. Después se conecta con esa misma clave para demostrar que era la buena. En la Sagemcom F@st que Proximus reparte como BBOX 3V+ abrió una shell inversa usando solo tramas de radio, sin servidor de mando en la nube.

Los equipos señalados son modelos de Netgear, Technicolor y Sagemcom que los operadores belgas llevan años repartiendo. Las cuentas del investigador, hechas con datos de suscriptores y confianza media, sitúan el alcance por encima del millón y medio de pasarelas en un solo país, y no son un inventario verificado.

La reacción llegó por partes. Telenet revisó su parque entero en busca del demonio vulnerable y no lo encontró, así que queda fuera. Proximus apagó WPS en todos sus BBOX en 24 horas y prometió el parche completo en las semanas siguientes, y Kaiser dio el caso por resuelto de momento. Orange Bélgica seguía estudiando la desactivación masiva cuando se publicó la actualización.

Un CVE que nunca existió

El calendario del proceso explica por qué el fallo sigue vivo mejor que cualquier análisis del código. Kaiser envió el primer informe a Broadcom el 18 de julio de 2026 y el segundo nueve días más tarde, ambos con plazo de 90 días. Broadcom contestó el 28 de julio que había parche y que avisara a los fabricantes para que contactaran con ellos.

Al día siguiente, la compañía rechazó registrar un CVE y se negó a compartir la notificación que había enviado a los fabricantes por su portal de cliente. El CERT/CC abrió un caso el 4 de agosto y lo cerró el mismo día, porque Broadcom es una autoridad de numeración de CVE y no pensaba asignar ninguno. Sin CVE no hay alerta que cruzar con un inventario.

Los operadores recibieron el informe el 29 de julio y tuvieron 78 días hasta la charla. El 15 de octubre, un día antes de Hexacon, ninguno de los equipos probados en Bélgica había recibido el parche.

Cuando el aviso existe y circula, la cadena funciona: los intermedios de la CA india eMudhra, con claves que cualquiera podía recalcular, quedaron bloqueados por Chrome y Firefox en horas, como contamos al repasar las claves TLS comprometidas. Aquí no hubo ni aviso ni CVE, algo grave que apunta directamente a Broadcom y una mala política interna para manejar estos casos.

¿Qué puede hacer quien tenga uno de estos equipos?

El primer paso es saber si el aparato anuncia WPS. Kaiser publicó una regla YARA y un script de huella que, con una tarjeta en modo monitor, distingue la pila de Broadcom de hostapd: manda una trama fragmentada de longitud cero y mira si el equipo responde con ACK o con NACK. Si el punto de acceso no anuncia WPS, la herramienta se declara no concluyente.

Desactivar WPS es lo que hizo Proximus en horas y el investigador lo aceptó como mitigación suficiente. PCWorld sostiene en cambio que apagar la función no cierra el agujero en todos los modelos, y nadie ha publicado una prueba modelo por modelo. Mientras eso se aclara, lo prudente es tratar la red del router del operador como una red pública.

Cambiar el firmware tampoco es una salida general, porque en los equipos con chip inalámbrico de Broadcom la comunidad solo cubre una parte pequeña del catálogo al faltar el controlador del propio fabricante.

Lo que sí está al alcance es colocar un punto de acceso propio detrás, separar los aparatos del hogar en una red distinta y no dejar la administración expuesta a internet. Esa compartimentación no arregla el router, pero limita lo que un atacante encuentra si entra, y funciona igual con router de operador o sin él.

El trozo del parque que nadie actualiza

La lección no está en el fallo de Broadcom, que es uno entre miles, sino en el sitio donde vive. El hardware de red doméstico es la única pieza del parque que nadie actualiza: no tiene tienda de aplicaciones, ni actualizaciones automáticas fiables, ni un usuario que consulte la versión de firmware. Se instala con el contrato y se queda ahí una década.

Kaiser encontró dos fallos en menos de una semana con modelos de IA de frontera, y lo contó como buena noticia porque abarata auditar las capas profundas de la infraestructura. El mismo abaratamiento sirve para quien busca una rendija en la red del vecino, y los ataques de vecino más cercano contra redes de hotel ya aparecen en los informes de los equipos de respuesta a incidentes. La pregunta incómoda no es cuántos routers están afectados, sino cuántos recibirán una actualización antes de jubilarse.