สรุปสั้น

นาย Quentin Kaiser นักวิจัยความปลอดภัย นำเสนอบนเวที Hexacon ที่กรุงปารีสถึงช่องโหว่ในโค้ด 802.11 แบบปิดของบริษัท Broadcom ซึ่งอยู่ใน SDK มาตั้งแต่อย่างน้อยปี 2553 ช่องโหว่อยู่ในส่วนประกอบข้อความ WPS EAP ที่เราเตอร์ตามบ้านจำนวนมากใช้ตอนตั้งค่าไร้สาย ผู้โจมตีที่อยู่ในระยะสัญญาณ Wi-Fi สามารถอ่านข้อมูลในหน่วยความจำและรันโค้ดบนเราเตอร์ได้โดยไม่ต้องรู้รหัสผ่าน Wi-Fi ไม่ต้องทำขั้นตอน WPS ให้ครบ และเหยื่อไม่ต้องทำอะไรเลย เขาสาธิตการโจมตีจริงกับเราเตอร์ 2 รุ่นที่ผู้ให้บริการอินเทอร์เน็ตในเบลเยียมแจกลูกค้า โดยดึงรหัส Wi-Fi ออกจากเครื่อง และเปิด reverse shell ผ่านเฟรม Wi-Fi ล้วน ๆ โดยไม่ต้องมีเซิร์ฟเวอร์สั่งการบนอินเทอร์เน็ต

ปัญหาใหญ่กว่าตัวบั๊กคือการแก้ไข Broadcom ออกแพตช์ที่ไม่ครบแบบเงียบ ๆ ในปี 2561 แล้วแนะนำให้ลูกค้าย้ายไปใช้ hostapd แทนการแก้โค้ดของตัวเองให้ครบ ทำให้แพลตฟอร์มที่ใช้ eCos (ชิป BCM3380, BCM3383, BCM33834) กลายเป็น forever day ที่ไม่มีวันได้แพตช์ ส่วนแพลตฟอร์ม Linux (BCM3390, BCM65xx, BCM68xx) ขึ้นกับว่าผู้ผลิตอุปกรณ์แต่ละรายยอมย้ายหรือไม่ Broadcom ยังปฏิเสธที่จะออก CVE และ ณ วันที่ 15 ตุลาคม 2569 ยังไม่มีอุปกรณ์ที่ได้รับผลกระทบในเบลเยียมได้รับแพตช์เลย นาย Kaiser ประเมินว่าเฉพาะในเบลเยียมมีเราเตอร์เสี่ยงกว่า 1.5 ล้านเครื่อง และระบุว่าใช้โมเดล AI ระดับแนวหน้าช่วยจนพบบั๊กได้ในเวลาไม่ถึงสัปดาห์

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่านาย Kaiser เผยแพร่รายละเอียดช่องโหว่ในบทความ “One Parser, Two Bugs” บนบล็อกของตัวเองเมื่อวันที่ 16 ตุลาคม 2569 ควบคู่กับการบรรยายที่ Hexacon โดยระบุว่า “ช่องโหว่ในการ implement 802.11 แบบปิดของ Broadcom อยู่ใน SDK มาตั้งแต่อย่างน้อยปี 2010 แพตช์ที่ไม่ครบถูกปล่อยเงียบ ๆ ในปี 2018 ตามด้วยคำแนะนำของ Broadcom ให้ย้ายไปใช้ hostapd ทำให้มันกลายเป็น forever day ถาวรบนแพลตฟอร์ม eCos และเป็น forever day ที่อาจเกิดขึ้นบนแพลตฟอร์ม Linux เว้นแต่ผู้ผลิตที่ได้รับผลกระทบจะยอมย้าย”

นาย Kaiser สาธิตการโจมตีที่ใช้งานได้จริงกับอุปกรณ์ 2 รุ่น รุ่นแรกคือเราเตอร์ ASKEY TCG3000 ของ Orange Belgium โค้ดที่รันบนเครื่องดึงรหัส Wi-Fi (PSK) จาก NVRAM แล้วส่งกลับมาหาผู้โจมตีผ่าน Wi-Fi จากนั้นเขาใช้รหัสที่ได้เชื่อมต่อเข้าเครือข่ายเพื่อยืนยันว่าถูกต้อง รุ่นที่สองคือ Sagemcom F@st หรือ BBOX3V+ ของ Proximus ซึ่งเขาเปิด reverse shell ผ่านเฟรม Wi-Fi ได้โดยไม่ต้องมีเซิร์ฟเวอร์ C2 บนคลาวด์ เขาย้ำว่าเสาอากาศที่วางชิดกันในวิดีโอเป็นแค่การจัดแล็บ การโจมตีทำได้จากระยะไกลกว่านั้นมาก

ด้านการแจ้งช่องโหว่ นาย Kaiser รายงานไปยัง Broadcom ในเดือนกรกฎาคม 2569 Broadcom ตอบว่ามีแพตช์อยู่แล้วและให้เขาไปบอกผู้ผลิตอุปกรณ์ให้ติดต่อ Broadcom เอง บริษัทปฏิเสธที่จะออก CVE และไม่ยอมเปิดเผยประกาศที่ส่งผ่านพอร์ทัลลูกค้า ส่วน CERT/CC เปิดเคสแล้วปิดในวันเดียวกัน หลังยืนยันว่า Broadcom เป็นผู้ออก CVE ได้เองแต่ไม่มีเจตนาจะทำ Security Affairs สรุปว่านี่ไม่ใช่กระบวนการเปิดเผยช่องโหว่ที่เหมาะสม แต่เป็นทางตันที่มีหลักฐานเป็นลายลักษณ์อักษร

รายละเอียดช่องโหว่

ช่องโหว่อยู่ในโค้ดประกอบข้อความ (reassembly) ของ WPS EAP ซึ่งเป็นส่วนที่จัดการกระบวนการตั้งค่าไร้สายแบบ Wi-Fi Protected Setup โค้ดส่วนนี้ประมวลผลข้อมูลจากอุปกรณ์ที่ยังไม่ได้ยืนยันตัวตน ผู้โจมตีจึงส่งเฟรมที่สร้างขึ้นเฉพาะมาจากภายนอกเครือข่ายได้โดยไม่ต้องรู้คีย์เครือข่าย ตามคำของนาย Kaiser การโจมตี “ทำให้เปิดเผยข้อมูลได้แบบควบคุมได้และรันโค้ดได้ตามต้องการ” ซึ่งตรงกับชื่อบทความที่ระบุว่ามี 2 บั๊กในตัวแยกวิเคราะห์ (parser) เดียวกัน

แพตช์ปี 2561 ของ Broadcom ปิดปัญหาได้เพียงบางส่วน และแทนที่จะแก้โค้ดของตัวเองให้ครบ Broadcom กลับแนะนำให้ย้ายไปใช้ hostapd ซึ่งเป็นซอฟต์แวร์ไร้สายแบบโอเพนซอร์ส บนแพลตฟอร์มที่ใช้ระบบปฏิบัติการ eCos ซึ่งย้ายไป hostapd ไม่ได้ ช่องโหว่จึงไม่มีทางได้รับการแก้ ส่วนบนแพลตฟอร์ม Linux การแก้ขึ้นอยู่กับผู้ผลิตอุปกรณ์แต่ละรายทั้งหมด ข้อจำกัดของข้อมูลคือ ณ วันที่เผยแพร่ ยังไม่มีหมายเลข CVE และยังไม่มีรายงานว่าถูกใช้โจมตีจริง

นาย Kaiser ประเมินจากข้อมูลตลาดโทรคมนาคมของเบลเยียมแบบคร่าว ๆ ว่ามีอุปกรณ์ได้รับผลกระทบราว 850,000 เครื่องของ Proximus, 500,000 เครื่องในกลุ่มอุปกรณ์รุ่นเก่าของ VOO และ 210,000 เครื่องของ Orange Belgium รวมกว่า 1.5 ล้านเครื่องในประเทศเล็ก ๆ ประเทศเดียว ส่วน Telenet อาจได้รับผลกระทบผ่านอุปกรณ์ Sagemcom แต่ยืนยันไม่ได้เพราะหาเครื่องมาทดสอบไม่ได้

ผลกระทบ

ชิปเซ็ตที่ได้รับผลกระทบถูกใช้ในอุปกรณ์ของผู้ผลิตหลายสิบรายและผลิตภัณฑ์หลายร้อยรุ่นทั่วโลก ตัวเลข 1.5 ล้านเครื่องจึงเป็นแค่ภาพของประเทศเดียว และยังไม่มีใครรู้ขอบเขตเต็ม นาย Kaiser จึงเผยแพร่สคริปต์ fingerprinting และกฎ YARA เพื่อช่วยระบุอุปกรณ์ที่ได้รับผลกระทบ อุปกรณ์กลุ่มนี้ส่วนใหญ่เป็นเราเตอร์และเกตเวย์ที่ผู้ให้บริการอินเทอร์เน็ตแจกลูกค้า ซึ่งผู้ใช้และทีมความปลอดภัยแทบไม่เคยตรวจเฟิร์มแวร์ และการอัปเดตขึ้นกับผู้ให้บริการเพียงฝ่ายเดียว

เพราะต้องอยู่ในระยะสัญญาณ Wi-Fi ความเสี่ยงสูงสุดจึงเป็นการโจมตีแบบเจาะจงเป้าหมาย เช่น เครือข่ายโรงแรม หรือการสอดแนมเป้าหมายที่อยู่ใกล้ เราเตอร์ที่ถูกยึดตรวจสอบได้ยาก ผู้โจมตีจึงดักหรือเก็บทราฟฟิกเครือข่ายได้อย่างเงียบ ๆ อีกประเด็นคือกรณีนี้แสดงช่องว่างของระบบเปิดเผยช่องโหว่ เมื่อผู้ผลิตชิปเป็นผู้ออก CVE เองแต่เลือกไม่ออก ผู้ผลิตปลายน้ำและผู้ใช้ก็ไม่มีตัวระบุที่ใช้ติดตามว่าอุปกรณ์ของตนได้รับผลกระทบหรือแก้แล้วหรือยัง และการที่ AI ช่วยลดเวลาค้นหาบั๊กจากหลายเดือนเหลือไม่ถึงสัปดาห์ ก็แปลว่าผู้โจมตีทำแบบเดียวกันได้

คำแนะนำ

  • ตรวจว่าเราเตอร์หรือเกตเวย์ในองค์กรและสาขาใช้ชิป Broadcom ตระกูลที่ได้รับผลกระทบหรือไม่ โดยใช้สคริปต์ fingerprinting และกฎ YARA ที่นาย Kaiser เผยแพร่
  • ปิดฟีเจอร์ WPS บนเราเตอร์ทุกเครื่องถ้าตั้งค่าได้ เพราะช่องโหว่อยู่ในโค้ดส่วนนี้ (แต่ต้องทดสอบว่าการปิดจากหน้าตั้งค่าหยุดการประมวลผลเฟรม WPS จริง)
  • อุปกรณ์ที่ใช้ eCos ไม่มีทางได้แพตช์ ให้วางแผนเปลี่ยนอุปกรณ์ หรือปิด Wi-Fi ในตัวแล้วใช้ access point แยกที่ได้รับการดูแล
  • ติดต่อผู้ให้บริการอินเทอร์เน็ตเพื่อสอบถามแผนแพตช์หรือการย้ายไปใช้ hostapd สำหรับอุปกรณ์ที่ใช้ Linux
  • ไม่ไว้ใจเครือข่ายภายในที่อยู่หลังเราเตอร์ตามบ้านหรือเครือข่ายโรงแรม ให้ใช้ VPN และการเข้ารหัสปลายทางสำหรับงานสำคัญ โดยเฉพาะพนักงานที่ทำงานนอกสถานที่หรือเดินทาง
  • ผู้ผลิตอุปกรณ์ที่ใช้ SDK ของ Broadcom ควรติดต่อ Broadcom ขอแพตช์โดยตรงและเปิดเผยรายการรุ่นที่ได้รับผลกระทบให้ลูกค้า

แหล่งอ้างอิง