Broadcom Wi-Fi yongalarındaki eski açık, modemlerin parolasız ele geçirilmesine yol açıyor

Güvenlik araştırmacısı Quentin Kaiser, Broadcom'un tescilli Wi-Fi yazılımında en az 2010'dan bu yana bulunan bir açığın, kablosuz menzildeki saldırganların Wi-Fi parolasını bilmeden ev modemlerini ele geçirmesine imkân verdiğini 16 Ekim'de Paris'teki Hexacon konferansında açıkladı. Broadcom açığa CVE kimliği atamayı reddetti. Araştırmacıya göre test ettiği etkilenen cihazların hiçbiri 15 Ekim itibarıyla yama almamıştı; Kaiser bazı platformlar için durumu hiçbir zaman kapanmayacak bir açık ("forever day") olarak tanımlıyor.

Neler oldu?

Kaiser'in konuşmayla birlikte yayımladığı yazıya göre sorun, Broadcom'un 802.11 uygulamasındaki Wi-Fi Protected Setup (WPS) işleme kodunda yer alan iki "WPS EAP reassembly overflow" (WPS EAP birleştirme taşması) açığından kaynaklanıyor. Açıklardan biri eCos tabanlı, diğeri Linux tabanlı yonga setlerini etkiliyor. Kaiser ve Security Affairs'in aktardığına göre açıklar ağ anahtarı olmadan ve olağan WPS eşleştirmesi tamamlanmadan kablosuz olarak tetiklenebiliyor; sonuçta kontrollü bilgi sızdırma ve keyfi kod çalıştırma mümkün oluyor.

Security Affairs'in haberine göre Kaiser bir gösterimde modemin belleğinden Wi-Fi parolasını çıkardı ve yalnızca kablosuz çerçeveler kullanarak uzak kabuk (reverse shell) açtı. Araştırmacı saldırının uzun mesafelerde de çalıştığını belirtiyor. İki kaynak da açığın gerçek saldırılarda kullanıldığına dair bir bilgi aktarmıyor.

Teknik detaylar

Araştırmacının listesine göre etkilenen yonga setleri şunlar:

• eCos tabanlı: BCM3380, BCM3383, BCM33834 (kesin olarak kapanmayacak açık)
• Linux tabanlı: BCM3390, BCM65xx, BCM68xx (kapanmama ihtimali olan açık)

Security Affairs'e göre bu yonga setleri onlarca üreticinin cihazında kullanılıyor. Kaiser, Broadcom'un 2018'de sessizce eksik bir düzeltme yayımladığını, ardından üreticilere açık kaynaklı hostapd'ye geçmelerini önerdiğini aktarıyor. eCos platformlarında üreticiler geçiş yapmadıkça sorunun giderilemeyeceği, Linux platformlarında ise sonucun her üreticiye bağlı olduğu belirtiliyor.

Açıklama takvimine göre raporlar 18 ve 27 Temmuz 2026'da Broadcom PSIRT'e gönderildi. Broadcom yamanın hazır olduğunu söyleyip araştırmacıdan üreticilerle doğrudan iletişime geçmesini istedi; ancak CVE kaydetmeyi ve üretici bildirimlerini paylaşmayı reddetti. CERT/CC, CVE Numaralandırma Otoritesi olan Broadcom CVE kaydetmediği için dosyayı 4 Ağustos'ta kapattı. Kaiser, Proximus'u ve Belçika Siber Güvenlik Merkezi'ni de bilgilendirdiğini, Orange ve VOO'ya ulaşmaya çalıştığını belirtiyor.

Kimler etkileniyor?

Kaiser çalışan istismarı Orange Belgium'un ASKEY TCG3000 ve Proximus'un Sagemcom F@st/BBOX3V+ modemleri üzerinde gösterdi. Listesinde VOO'nun eski Netgear CG3100, CG3700 ve Technicolor TC7210 gibi modelleri de yer alıyor; bazı Telenet modelleri ise henüz doğrulanmadı. Araştırmacının orta güvenilirlikteki tahminine göre yaklaşık 850 bin Proximus, 500 bin VOO ve 210 bin Orange Belgium modemi risk altında; bu da yalnızca Belçika'da 1,5 milyonun üzerinde cihaz anlamına geliyor. Aynı yonga setlerini kullanan başka ülkelerdeki cihazlar da etkilenebilir.

Ne yapmalı?

Kaiser, etkilenen cihazları tespit etmeye yardımcı olmak için qkaiser/broadcom-wps GitHub deposunda bir parmak izi betiği ve YARA kuralı yayımladı. İnternet servis sağlayıcısının verdiği modemi kullananlar, sağlayıcılarına yazılım güncellemesi olup olmadığını sormalı. Listelenen yonga setlerini kullanan servis sağlayıcılar ve üreticiler cihaz filolarını değerlendirmeli ve Broadcom'un önerdiği şekilde açıklı WPS uygulamasından uzaklaşmalı. Kaynaklarda özel olarak belirtilmese de cihaz izin veriyorsa WPS'i kapatmak genel bir sıkılaştırma adımı olarak riski azaltabilir; ancak bu, servis sağlayıcının yönettiği her modemde mümkün olmayabilir.