Broadcom Wi-Fi 漏洞“WPSplinter”曝光：可无密码劫持路由器，部分设备面临永久无法修复风险
安全研究员 Quentin Kaiser 披露了名为“WPSplinter”的严重安全漏洞。该漏洞存在于 Broadcom 专有的 Wi-Fi 软件实现中，最早可追溯至 2010 年，至今已持续存在 16 年。攻击者无需知晓网络密码，也无需路由器所有者进行任何操作，仅凭位于 Wi-Fi 信号范围内即可劫持数百万台路由器。
漏洞原理与利用方式
该缺陷源于 Broadcom 对 Wi-Fi Protected Setup (WPS) 功能的处理逻辑。WPS 旨在让用户无需手动输入密码即可连接无线网络。Kaiser 发现，精心构造的 WPS 消息可能导致路由器内存破坏，从而使攻击者在设备上执行任意代码。
Kaiser 针对比利时互联网服务商 Proximus、Orange Belgium 和 VOO 提供的路由器演示了可用的利用程序。在一次针对 ASKEY TCG3000 网关的攻击中，他成功在设备上运行代码，从内存中提取 Wi-Fi 密码并通过无线方式发送回攻击端，随后使用窃取的凭证加入网络。此外，由 VOO 提供的 Netgear 和 Technicolor 路由器也被证实存在此缺陷。
受影响范围估算
据 Kaiser 粗略估计，仅比利时境内潜在受影响的路由器总数高达 156 万台：
- Proximus 网关：约 85 万台
- VOO 设备：约 50 万台
- Orange Belgium 设备：约 21 万台
由于 Broadcom 的 Wi-Fi 技术被数十家制造商应用于数百种产品中，全球受影响的设备数量可能远超上述数据。
修复困境与“永久日”风险
据报道，Broadcom 自 2018 年起已知晓该问题，并曾尝试发布部分修复方案，但 Kaiser 指出这并未彻底解决问题。芯片制造商建议下游厂商放弃其专有实现，转而使用开源 hostapd 软件。然而，这一建议在实际落地中面临巨大挑战：
- 高风险设备：运行基于 eCos 系统的较旧 Broadcom 芯片（包括 BCM3380、BCM3383 和 BCM33834）的路由器处境尤为严峻。Kaiser 将此称为“永久日”（forever day），意味着这些设备可能永远无法获得有效修复。
- 依赖厂商更新：使用基于 Linux 系统的 BCM3390、BCM65xx 和 BCM68xx 芯片的路由器也不一定能幸免，除非其制造商主动切换至 hostapd。对于许多已停止支持多年的老旧型号而言，明显的修复途径尚不存在。
披露过程争议
Kaiser 于 7 月 18 日首次向 Broadcom 报告漏洞，并于 7 月 27 日提交第二份报告，给予该公司及受影响供应商 90 天的准备时间。Broadcom 在 7 月 28 日回应称已有补丁可用，并建议研究者直接联系受影响的制造商。
然而，次日 Broadcom 拒绝为该漏洞分配 CVE 标识符，也未向 Kaiser 提供一份通过其客户门户发送给制造商的通知副本。由于 Broadcom 本身是 CVE 编号授权机构（CNA）且拒绝登记该漏洞，Kaiser 在 CERT/CC 开设的案例于 8 月 4 日关闭。截至 10 月 15 日，即 Kaiser 发表演讲的前一天，他所确定的受影响设备均未收到补丁。
其他细节
尽管目前尚未有野外攻击的证据报告，但潜在危害不容忽视。停在家庭或办公室外的攻击者可能攻破易受攻击的路由器，窃取网络凭证或利用访问权限干扰流量。值得注意的是，Kaiser 表示人工智能加速了调查过程，原本可能需要数月完成的工作，在前沿模型的帮助下得以迅速推进。
