研究者がBroadcom製Wi-Fiルーターをパスワードなしで攻略、root権限を完全掌握

Broadcomの Wi-Fi ソフトウェアに存在する脆弱性により、無線の電波が届く範囲にいる攻撃者が、Wi-Fiパスワードを知らなくても脆弱なルーターを乗っ取れる可能性があります。

脆弱性診断サービス

問題が見つかったのは、同社によるWi-Fi Protected Setup(WPS)の実装です。WPSは、デバイスを無線ネットワークに接続しやすくするための機能です。

研究者のQuentin Kaiser氏は、この脆弱性を悪用すれば、影響を受けるデバイス上で機密データの読み取りやコードの実行が可能になることを示しました。実行できるコードには、Linuxベースのシステムで最高レベルの制御権限であるroot権限のコードも含まれます。元の調査

脆弱性は、Broadcomのソフトウェアが無線経由で送信されるWPSメッセージの一部を処理する方法にあります。近くにいる攻撃者は、ネットワークに参加する必要も、パスワードを入力する必要も、通常のWPS設定手順を完了させる必要もありません。

これはマルウェアの発見ではありません。報告されているのは、悪用されればアクセス権を奪われかねないルーターソフトウェアの弱点です。ルーターはユーザーとインターネットの間に位置し、多数のデバイスの通信を中継していることが多いため、リスクは深刻です。

QTNKSRの研究者は、Broadcom製Wi-Fiプラットフォーム全体にわたってこの脆弱性を特定し、文書化しました。調査結果では、影響を受けるルーターでメモリ内容の漏えいとリモートコード実行が可能とされています。テストでは、複数のインターネットプロバイダーが提供する機器にも問題が及ぶことが確認されました。

研究者によると、この脆弱性はBroadcomのソフトウェア開発キット(SDK)に少なくとも2010年から存在しています。BroadcomのWi-Fiチップの脆弱性を扱った過去の報告に続く問題ですが、以前の調査結果は別の製品やコンポーネントが対象でした。

Broadcomのソフトウェアは、WPS通信で使われる断片化されたメッセージを受信し、再構築します。Kaiser氏は、この処理のエラーがメモリ破壊につながり得ることを発見しました。

メッセージを巧妙に細工することで、同氏は脆弱なデバイスのメモリから情報を漏えいさせ、コードを実行する手法を編み出しました。

脆弱性診断サービス

公開されているデモンストレーションでは、攻撃はWi-Fi経由で行われています。ルーターのWeb管理ページへのアクセスには依存しません。

あるデモでは、研究者はコード実行を利用して、Orange BelgiumのASKEY TCG3000ゲートウェイに保存されたWi-Fiネットワークキーを取得しました。

別のデモでは、Wi-Fiフレームを使ってProximusのゲートウェイからリバースシェルを取得しました。これらのテストは、この弱点が重大である理由を示しています。攻撃者は、無線接続を妨害するだけでなく、近くにいる状態からルーターの制御権を握れる可能性があります。

調査では、攻撃者が機器のすぐそばにいる場合だけでなく、離れた場所からでも攻撃が成立し得ることも指摘されています。

リスクは特定のルーターブランドに限られません。研究者は、eCosで動作するBroadcom製チップBCM3380、BCM3383、BCM33834を搭載したデバイスで脆弱性を確認しました。また、BCM3390、BCM65xx、BCM68xxを使うLinuxベースのプラットフォームにも影響が及ぶ可能性があるとしています。

テスト対象となったベルギーのプロバイダー機器は、Proximus BBOX 3とBBOX3V+、VOOが提供する複数のNetgear製およびTechnicolor製モデル、Orange BelgiumのASKEY TCG3000などです。

研究者は、より多くのベンダーや製品が影響を受ける可能性があるとしていますが、完全な一覧はまだありません。

パッチの状況と影響範囲

研究者の報告によると、Broadcomのソフトウェア開発キットには2010年までにこの脆弱性が含まれていました。2018年に公開されたパッチは不完全だったということです。Broadcomは、別のWi-Fiソフトウェア実装であるhostapdへの移行を勧めたと伝えられています。

研究者は、eCosを搭載した影響機器の見通しは特に厳しいと述べています。一方、Linuxベースの製品は、メーカーが必要なソフトウェア変更を行えば修正できる可能性があります。2026年10月15日の時点で、テストしたプロバイダー機器は依然としてパッチ未適用と報告されています。

Kaiser氏が公開した開示のタイムラインによると、Broadcomはこの問題にCVE識別子を割り当てていません。

研究者によれば、Broadcomには2018年に通知済みで、今回の調査結果は2026年7月にあらためてBroadcomへ報告しました。影響を受けるプロバイダーやベルギーのCyber Security Centerにも連絡しています。このため、ルーターの所有者は、明確な案内やファームウェア更新をルーターメーカーやインターネットプロバイダーに頼らざるを得ません。

サイバーセキュリティニュース購読

ルーターの所有者は、プロバイダーのセキュリティ情報を確認し、自分の機種に更新プログラムや交換用機器が用意されているかを問い合わせてください。

管理パスワードが強力だからといって、ルーターが安全だと考えてはいけません。この問題はWi-Fi経由で引き起こされ、ログインを必要としないためです。

プロバイダーが機種の影響を認めながら修正を用意していない場合は、サポート対象の機器に交換するのが賢明です。ルーターを取り巻くより広いリスクについては、GBHackersのRuckus製ルーターの脆弱性とDrayTek製ルーターのセキュリティ欠陥の記事も参考になります。

今回の調査結果は、長年続くサプライチェーンの問題も浮き彫りにしています。Broadcomは多くのメーカーが使う技術を供給していますが、どのソフトウェアを顧客に届けるか、いつ更新を配信するかを決めるのは、ルーターメーカーとインターネットプロバイダーです。

チップ供給元のコードが修正されても、機器メーカーがその修正を組み込んで配布しなければ、デバイスは保護されません。家庭でも企業でも、プロバイダーに更新状況を確認することが欠かせません。

侵害指標(IoC):-

注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(例: [.])しています。無害化の解除は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

16,000以上のSOCチームが、脅威調査の効率化と手作業の削減にANY.RUNを活用しています。 チームで試してみる