- Katılım
- 28 Aralık 2023
- Mesajlar
- 1.969
- Makaleler
- 9
- Çözümler
- 41
- Beğeniler
- 2.693
Güvenlik araştırmacısı Quentin Kaiser, 16 Ekim 2026'da Paris'teki Hexacon güvenlik konferansında dünya çapında milyonlarca modemi/router'ı etkileyen kritik bir Broadcom Wi-Fi (WPS) güvenlik açığı duyurdu. Quentin Kaiser açık ile ilgili raporu 18/07/2026 tarihinde gönderdiğini belirtiyor.
Açığın kaynağı Broadcom'un en az 2010 yılından beri yazılım geliştirme kitlerinde (SDK) bulunan tescilli 802.11 WPS EAP paket birleştirme ayrıştırıcısındaki bellek taşması ve bellek sızıntısı hatalarıdır. Wi-Fi kapsama alanı içindeki saldırgan, Wi-Fi şifresini bilmeden hedef modeme özel olarak hazırlanmış parçalı WPS/EAP paketleri gönderir. Bunun sonucunda saldırgan iki hatayı birbirine zincirleyerek önce cihazın belleğinden veri sızdırır (buna mevcut Wi-Fi/WPA2 şifreleri dahildir). Ardından cihaz üzerinde uzaktan kod çalıştırma yetkisi elde ederek cihazın tam root kontrolünü ele geçirir. Üstelik bu erişim doğrudan 802.11 Wi-Fi paketleri üzerinden yürütülebildiği için internetteki bir kontrol sunucusuna bile ihtiyaç kalmıyor.
Peki araştırmacının kodu ne yapıyor, gelin eğitim amacıyla buna da bakalım. Python kodu öncelikle beacon ve probe response paketlerini dinliyor ve IE(Information Element) etiketlerini ayrıştırıyor. Modem havadan WPS desteklediğini yayınladığında, kodun içindeki fonksiyon bu paketin içini okuyarak modemin kendi beyan ettiği marka ve model adını (örneğin ZTE F680 v4 vb.) doğrudan metin olarak alıyor. Cihazın Broadcom olup olmadığını üç adımda anlıyor. Öncelikle Broadcom'a ait 9 baytlık özel bir prefix'in olup olmadığına bakıyor, bu prefix varsa tek maddeden anlamış oluyor. İkinci olarak WPS özniteliklerinden 0x1047 veya 0x1048 alanı eğer Broadcom SDK'sının yıllardır değiştirmeden sabit bıraktığı 000102030405060708090a0b0c0d0ebb değerine eşitse cihazın Broadcom SDK kullandığını yakalıyor. Üçüncü olarak ise eğer üretici firma Broadcom SDK'sını derlerken varsayılan WPS metinlerini değiştirmeyi unuttuysa (örneğin vendor = "broadcom", model = "BroadcomAP", model_number = "1234" veya "123456"), bunlardan en az ikisi eşleştiğinde cihazı Broadcom olarak anlıyor. Daha sonrasında ise bir bayrak gönderip cihazın bayrağa tepkisine göre işlemi tamamlıyor.
Hata doğrudan Broadcom'un temel SDK kodunda yer aldığı için hem eCos hem de Linux tabanlı çalışan çok sayıda farklı SoC (BCM3380, BCM3383, BCM3390 vb.) ve modem markasını etkiledi. Güvenlik açığı öncelikle Belçika'da tespit edildi. İlk olarak Belçika'daki internet servis sağlayıcılarının (Proximus, VOO, Orange Belgium, Telenet) dağıttığı Sagemcom, Netgear, Technicolor ve Askey modemlerde test etmiş ve yalnızca Belçika'da yaklaşık 1,5 milyon cihazın savunmasız olduğunu hesaplamıştır.
Sorunlu Broadcom kodunun ZTE F680 v4 gibi popüler fiber modemlerde ve İspanya (Movistar), Vietnam, Mısır, Moldova gibi pek çok ülkedeki ISS'lerin dağıttığı cihazlarda da bulunduğu ortaya çıkmıştır. (Türkiye'deki ISS'lerin geçmişte dağıttığı Broadcom çipli ZTE, Netgear, Sagemcom veya Tilgin/Technicolor tabanlı eski/mevcut modemlerin bir kısmı da benzer SDK altyapısını kullanmaktadır).
Broadcom, bu hatanın daha önce bilindiğini ve müşteri portalında sessizce bir yama yayınlandığını belirterek resmi bir CVE numarası atamayı reddetmiştir. Broadcom yamayı yayınlasa bile son kullanıcıya ulaşması için geçecek süre ve eski cihazlara ulaşıp ulaşmayacağı belirsiz.
Quentin Kaiser bu açığı tek başına aylar sürecek tersine mühendislik çabasıyla değil, kendi kurduğu otonom yapay zeka ajanları düzeneğiyle 1 haftadan kısa sürede bulup exploit ettiğini açıklamıştır. Cihazın seri portunu, Ghidra'yı ve hata ayıklayıcıyı doğrudan yapay zeka modeline bağlayarak 16 yıllık bu hatayı ortaya çıkarmıştır.
Bu durumdan etkilenmemek için ne yapabilirsiniz?
Açığın kaynağı Broadcom'un en az 2010 yılından beri yazılım geliştirme kitlerinde (SDK) bulunan tescilli 802.11 WPS EAP paket birleştirme ayrıştırıcısındaki bellek taşması ve bellek sızıntısı hatalarıdır. Wi-Fi kapsama alanı içindeki saldırgan, Wi-Fi şifresini bilmeden hedef modeme özel olarak hazırlanmış parçalı WPS/EAP paketleri gönderir. Bunun sonucunda saldırgan iki hatayı birbirine zincirleyerek önce cihazın belleğinden veri sızdırır (buna mevcut Wi-Fi/WPA2 şifreleri dahildir). Ardından cihaz üzerinde uzaktan kod çalıştırma yetkisi elde ederek cihazın tam root kontrolünü ele geçirir. Üstelik bu erişim doğrudan 802.11 Wi-Fi paketleri üzerinden yürütülebildiği için internetteki bir kontrol sunucusuna bile ihtiyaç kalmıyor.
Peki araştırmacının kodu ne yapıyor, gelin eğitim amacıyla buna da bakalım. Python kodu öncelikle beacon ve probe response paketlerini dinliyor ve IE(Information Element) etiketlerini ayrıştırıyor. Modem havadan WPS desteklediğini yayınladığında, kodun içindeki fonksiyon bu paketin içini okuyarak modemin kendi beyan ettiği marka ve model adını (örneğin ZTE F680 v4 vb.) doğrudan metin olarak alıyor. Cihazın Broadcom olup olmadığını üç adımda anlıyor. Öncelikle Broadcom'a ait 9 baytlık özel bir prefix'in olup olmadığına bakıyor, bu prefix varsa tek maddeden anlamış oluyor. İkinci olarak WPS özniteliklerinden 0x1047 veya 0x1048 alanı eğer Broadcom SDK'sının yıllardır değiştirmeden sabit bıraktığı 000102030405060708090a0b0c0d0ebb değerine eşitse cihazın Broadcom SDK kullandığını yakalıyor. Üçüncü olarak ise eğer üretici firma Broadcom SDK'sını derlerken varsayılan WPS metinlerini değiştirmeyi unuttuysa (örneğin vendor = "broadcom", model = "BroadcomAP", model_number = "1234" veya "123456"), bunlardan en az ikisi eşleştiğinde cihazı Broadcom olarak anlıyor. Daha sonrasında ise bir bayrak gönderip cihazın bayrağa tepkisine göre işlemi tamamlıyor.
Hata doğrudan Broadcom'un temel SDK kodunda yer aldığı için hem eCos hem de Linux tabanlı çalışan çok sayıda farklı SoC (BCM3380, BCM3383, BCM3390 vb.) ve modem markasını etkiledi. Güvenlik açığı öncelikle Belçika'da tespit edildi. İlk olarak Belçika'daki internet servis sağlayıcılarının (Proximus, VOO, Orange Belgium, Telenet) dağıttığı Sagemcom, Netgear, Technicolor ve Askey modemlerde test etmiş ve yalnızca Belçika'da yaklaşık 1,5 milyon cihazın savunmasız olduğunu hesaplamıştır.
Sorunlu Broadcom kodunun ZTE F680 v4 gibi popüler fiber modemlerde ve İspanya (Movistar), Vietnam, Mısır, Moldova gibi pek çok ülkedeki ISS'lerin dağıttığı cihazlarda da bulunduğu ortaya çıkmıştır. (Türkiye'deki ISS'lerin geçmişte dağıttığı Broadcom çipli ZTE, Netgear, Sagemcom veya Tilgin/Technicolor tabanlı eski/mevcut modemlerin bir kısmı da benzer SDK altyapısını kullanmaktadır).
Broadcom, bu hatanın daha önce bilindiğini ve müşteri portalında sessizce bir yama yayınlandığını belirterek resmi bir CVE numarası atamayı reddetmiştir. Broadcom yamayı yayınlasa bile son kullanıcıya ulaşması için geçecek süre ve eski cihazlara ulaşıp ulaşmayacağı belirsiz.
Quentin Kaiser bu açığı tek başına aylar sürecek tersine mühendislik çabasıyla değil, kendi kurduğu otonom yapay zeka ajanları düzeneğiyle 1 haftadan kısa sürede bulup exploit ettiğini açıklamıştır. Cihazın seri portunu, Ghidra'yı ve hata ayıklayıcıyı doğrudan yapay zeka modeline bağlayarak 16 yıllık bu hatayı ortaya çıkarmıştır.
Bu durumdan etkilenmemek için ne yapabilirsiniz?
- WPS'yi kapatın.
- Genelde ülkemizde ne yazık ki cihazların yazılım güncellemesi İSS'ler tarafından kapatılıyor. Eğer yapabiliyorsanız cihazınızın yazılımının güncel olduğundan emin olun.
- Huawei B315 (BCM43217 Wi-Fi) GitHub - qkaiser/broadcom-wps: Tools to fingerprint WiFi Access Points running the Broadcom SDK and a list of known affected devices.
- Huawei B310 (BCM43217 Wi-Fi) GitHub - qkaiser/broadcom-wps: Tools to fingerprint WiFi Access Points running the Broadcom SDK and a list of known affected devices.
- ZTE 368N (Broadcom Wi-Fi Altyapısı) GitHub - qkaiser/broadcom-wps: Tools to fingerprint WiFi Access Points running the Broadcom SDK and a list of known affected devices.
- Nokia G-240W-A & G-240W-B (BCM68380 SoC) nokia_superuser_tools/nokia_cpu_list.txt at main · akabul0us/nokia_superuser_tools
- ZTE ZXHN F680 v4 (BCM68380 SoC) GitHub - qkaiser/broadcom-wps: Tools to fingerprint WiFi Access Points running the Broadcom SDK and a list of known affected devices.
- Netmaster CBW-383Z4 & CBW-383ZN (BCM3383(?) SoC - eCos) Kablonet WiFi Şifre
- Netmaster Infinity 401MP (BCM3384ZU/BCM3185 SoC) https://www.scribd.com/document/768560062/Datasheet-Cablemodem-Infinity-401
- ZyXEL VMG3312-B10B & VMG3312-B10A (BCM63168 SoC) [OpenWrt Wiki] ZyXEL VMG3312-B10B DSL-491HNU-B1B v2 ZyXEL/VMG series
- ZyXEL VMG8324-B10A & VMG8924-B10A (BCM63168 SoC) OpenWrt Forum Archive ZyXEL/VMG series
- TP-Link Archer VR2800 (BCM63137 SoC) / VR900 (BCM4709A0 SoC) / VR600 (Revizyona göre BCM63168U, BCM63167U, BCM63xx, BCM63167 SoC) TP-LINK Archer VR series TP-LINK
- TP-Link TD-W9970 (v1 ve v2) (BCM63381U SoC) TP-LINK TD-W9970 v2 TP-LINK
- TP-Link Archer C3150 (BCM4709C0 SoC) / C5400 (BCM4908 SoC) (Düzenli güncelleme alıyor genelde, görülmeyebilir.) TP-LINK
- AirTies Air 5650 (v1/v2/v3) (BCM63168 SoC) https://openwrt.org/docs/techref/hardware/soc/soc.broadcom.bcm63xx
- Huawei HG253s v2 (BCM63168 SoC) / HG658 (BCM63168 SoC) Huawei HG658 Huawei HG253s v2
Son düzenleme: