Ein Fehler, der seit 2010 in Router-Chips steckt, lässt den Nachbarn Ihre WLAN-Box übernehmen

Ihr Router-Passwort hilft hier nicht. Das ist der unangenehme Teil der Forschung, die Quentin Kaiser am 16. Oktober auf der Hexacon in Paris vorstellte. Die Lücke steckt in Broadcoms eigenem Wi-Fi-Protected-Setup-Code, genauer darin, wie er fragmentiert eintreffende Setup-Nachrichten wieder zusammensetzt. Schickt man die Teile absichtlich in der falschen Reihenfolge, wird der Speicher des Routers beschädigt. Von dort aus führt ein Angreifer in WLAN-Reichweite Code als root aus. Er tritt dem Netz nie bei, tippt nie das Passwort ein, drückt nie die WPS-Taste.

Kaiser blieb nicht bei der Theorie. Er zog das WLAN-Passwort direkt aus einem Askey-TCG3000-Gateway der Art, die Orange Belgien ausgibt, und öffnete auf einer Proximus Sagemcom BBOX3V+ eine Reverse Shell allein über WLAN-Frames. Betroffen sind die Chipfamilien BCM3380, BCM3383 und BCM33834, die unter eCos laufen und sich realistisch nicht patchen lassen, sowie BCM3390, BCM65xx und BCM68xx, die unter Linux laufen und im Prinzip patchbar wären. Allein in Belgien schätzt er rund 1,5 Millionen betroffene Router, und derselbe Broadcom-Code steckt in Geräten unter einer langen Liste weiterer Marken.

Broadcoms Antwort lautet, ein Fix existiere seit 2018 und Hersteller sollten auf hostapd umsteigen. Eine CVE wollte das Unternehmen nicht vergeben. Der Code wird seit mindestens 2010 ausgeliefert. Kaiser fand keine Einstellung, die sich über Funk umlegen ließe und den Angriff stoppt, daher fällt der ehrliche Rat schmal aus: Fragen Sie Ihren Internetanbieter, ob Ihr Gateway-Modell betroffen ist und ob Firmware kommt, und drängen Sie auf ein Ersatzgerät, wenn die Antwort lautet, das Gerät sei am Ende seines Lebenszyklus.

Zu wissen, was sich tatsächlich im eigenen Netz befindet, ist der Anfang, und der Netzwerk-Scan von Tendvane listet jedes Gerät auf, das Ihr WLAN mitbenutzt, in den meisten Haushalten eine längere Liste als erwartet.