博通 WPS 十六年老洞没有 CVE 也没有补丁 先把自己的网关查一遍

上周在整理无线侧的资产表。运营商送的光猫路由一体机一共七台，型号杂，固件版本我从来没登记过，谁家哪台跑的是哪版，全靠翻标签。

翻 10 月 27 日岛内媒体的安全新闻时看到一条：博通 Wi-Fi 里的 WPS 实现有漏洞，站在附近的人不用密码就能在网关上拿到 root。第一反应是又一个邻近攻击的老梗，Kr00k 那波听太多了，多半又是要按 WPS 按钮、要贴着天线、要特定芯片。往下看才发现不是。这条没有 CVE 编号，没有补丁，代码至少 2010 年就在博通的 802.11 SDK 里。



一、洞在哪

研究者 Quentin Kaiser 在 10 月 16 日巴黎 Hexacon 会议上披露。位置是博通自己实现的 WPS，也就是那个按一下按钮或者输个 PIN 就能连网的功能。问题出在 WPS 消息分片之后的重组：代码对长度的校验不够，攻击者发一串构造过的分片，就能把路由器的内存写坏。从这个内存破坏里，他做出两个原语，一个能按地址把路由器内存读回来，一个能改执行流跑自己的代码。

HKCERT 的通报把攻击前提写得很清楚：不需要 Wi-Fi 密码，不需要按 WPS 按钮，不需要设备主人做任何操作，只要在无线信号覆盖范围内。

他演示了两台比利时运营商送的网关。一台是 Orange Belgium 的 ASKEY TCG3000，攻击者把存在设备里的 Wi-Fi 预共享密钥读出来，通过无线帧传回自己手上，然后拿这个密码正常入网。另一台是 Proximus 的 Sagemcom BBOX3V+，直接开出一个反向 shell，整条命令通道都在 Wi-Fi 帧里走，不需要外部命令服务器。两次都没有任何认证。VOO 的 Netgear CG3100、CG3700 和 Technicolor TC7210、CGA4233 也被确认存在，Telenet 的设备他没测到。

二、为什么不发 CVE

这一段比漏洞本身更值得记。漏洞在博通的私有实现里，博通自己是 CNA，有权给自己的产品分配 CVE 编号，它选择不分配。研究者的单子递到 CERT/CC，当天就被关掉，理由也是这个。

后果很直接：漏洞扫描器不会报，资产台账不会亮，补丁流程里根本没有这一条。CISA 的 KEV 目录里当然也没有，目前没看到在野利用的报告，演示用的 exp 是研究者自己写的。

时间线上还有一笔。这套代码至少能追到 2010 年。2018 年博通发过一个修复，但同时建议下游客户改用 hostapd，等于承认自己那套没修干净。老一点的 eCos 平台，BCM3380、BCM3383、BCM33834，按研究者的说法没有可用修复，他用了 forever day 这个词。新一点的 Linux 平台 BCM3390、BCM65xx、BCM68xx 理论上能修，前提是 OEM 真的把 WPS 栈换掉。他 7 月 18 日报的 eCos 问题、7 月 27 日报的 Linux 问题，到 10 月 15 日，他手上的测试设备一台都没收到补丁。

三、影响面

HKCERT 引研究者的估算，比利时三家运营商加起来大约 156 万台网关。全球数百万是他给的量级，不是统计数字。

他公开的受影响清单里，Actiontec、ARRIS、Arcadyan 这些北美和欧洲运营商定制机型一大片，还有 Cisco 小型商用 AP、华为、ARRIS 的路由器。中文媒体那边列的厂商更宽，还有 TP-Link、Nokia、ZTE、Sagemcom、Netgear。两份清单都不是穷举，README 里直接写了 THIS LIST IS NOT EXHAUSTIVE。所以设备不在清单上，不等于安全。

四、自己查

研究者放了两样东西在 github.com/qkaiser/broadcom-wps：一个 YARA 规则文件 broadcom_wps_monitor.yar，一个扫描脚本 broadcom_fingerprint.py。README 我是 10 月 27 日拉的，下面命令照抄，没改一个字。

静态查固件，把固件解出来之后：

yara -w -r broadcom_wps_monitor.yar extracted_firmware_dir

规则文件里三条：BRCM_WPS_Monitor_Generic_ELF、BRCM_WPS_Monitor_HAL_Config_ELF、VULN_BRCM_WPS_EAP_Fragment_Reassembly_ELF。README 自己写得很明白，这是分诊工具，编译器一变 opcode 形状就变，打过补丁的二进制也可能留着那些字符串，命中不等于可利用，得回去看源码里分片长度校验和拷贝那一段。

动态指纹要支持 monitor 模式的网卡。README 先让你把 NetworkManager 摘开，不然它会来回重置接口：

sudo nmcli device set <interface> managed no

然后开 monitor 模式，注意要带 otherbss，不带的话 MediaTek 的 mt76、mt7921 会丢掉别的 BSSID 的帧：

sudo ip link set dev wlp0s12u1 down
sudo iw dev wlp0s12u1 set monitor otherbss control
sudo ip link set dev wlp0s12u1 up

确认能收到帧，切到有流量的信道，比如 6：

sudo iw dev wlp0s12u1 set channel 6
sudo tcpdump -i wlp0s12u1 -e -n -c 5 "type mgt subtype beacon"

有 beacon 出来才算通。然后跑脚本：

sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid "<SSID>"

看输出的 Assessment。LIKELY_VULNERABLE 是博通私有信息元素加上那个 ACK 与 NACK 的怪癖，两个信号都在；PATCHED_HOSTAPD 是已经换到 hostapd；INCONCLUSIVE 是没探到 WPS，README 会补一句 Warning: selected AP does not advertise WPS。

脚本我没跑成。手头这台台式机没有无线网卡，笔记本上的 Intel Dual Band Wireless-AC 7265 恰好是 README 点名的反例，它能进 monitor 模式，但抓不到帧，一个 beacon 都没有。所以上面这些命令我一条回显都贴不出来，全是照 README 抄的。这一点必须先说清楚，免得有人照着敲完以为设备没问题。

五、查不了固件、也换不了网卡的时候

那就按处置动作来，从便宜到贵。

WPS 关掉。固件给了独立开关的话，关掉能砍掉一大块攻击面，至少不会被当成 WPS 目标。有些运营商固件把开关藏起来，或者干脆不给，那就看下一条。

WAN 侧的远程管理、云管理、端口映射一并清掉。这跟本漏洞不是一回事，但同一台设备上的暴露面越少越好。

IoT 和访客设备单独一个 SSID 或者 VLAN。网关被打穿以后，至少别让摄像头和办公机躺在一段里。

盯异常。DHCP 租约表里冒出的陌生设备、DNS 服务器被改、管理员登录记录里出现不是自己的地址，这三样是最便宜的发现手段。

问运营商。运营商送的网关基本没有自助打补丁的路径，只能打电话问型号和固件计划。问不到确切答复，就按不会修处理。

老 eCos 设备别抱幻想。研究者的结论是没有可用修复，替换是唯一出路。

六、一个我改过的判断

原来我觉得这类邻近攻击离国内环境很远，物理接近是 APT 才玩的东西。查完这条改了看法：它的门槛比想象低，不是要进机房，是要在楼下有一个能放网卡的位置。据安全媒体转述 Volexity 2024 年 11 月的报告，有一个俄罗斯背景的组织先拿下目标隔壁楼里的机器，再从邻楼去连目标的公司 Wi-Fi，人根本不用在同一栋楼。这种场景下，Wi-Fi 密码够复杂这条防线是失效的，因为攻击根本不走密码。

来源：

研究者检测工具仓库与 README，https://github.com/qkaiser/broadcom-wps （2026-10-27 查阅）
HKCERT，16-Year-Old Broadcom Wi-Fi Flaw Lets Attackers Hack Routers Without Knowing Passwords，https://www.hkcert.org/tc/security-news/16-year-old-broadcom-wi-fi-flaw-lets-attackers-hack-routers-without-knowing-passwords
IT之家（转 cyberkendra），博通 Wi-Fi 漏洞曝光，2026-10-20，https://www.toutiao.com/article/7698553156132700681/
資安人，2026-10-27 新闻条目，https://www.informationsecurity.com.tw/
独立汇总（含 2018 年修复与 CERT/CC 关单经过），https://pid.co.il/broadcom-wps

说明：本文所述漏洞截至 2026-10-27 仍无 CVE 编号，故正文不列编号。受影响设备清单在研究者仓库内，非穷举，请以仓库当期内容为准。

HKTULU
2026-10-28