Lỗ hổng Wi-Fi Broadcom tồn tại 16 năm, có thể mở cửa bộ định tuyến cho người lạ

Một người đứng trong vùng phủ sóng Wi-Fi có thể chiếm quyền điều khiển bộ định tuyến mà không biết mật khẩu mạng và không cần người dùng thực hiện bất kỳ thao tác nào. Đó là nguy cơ nhà nghiên cứu bảo mật Quentin Kaiser chỉ ra khi công bố WPSplinter, tên gọi chung cho hai lỗi trong phần mềm Wi-Fi độc quyền của Broadcom.

Theo Kaiser, các lỗi đã xuất hiện ít nhất từ năm 2010. Đến năm 2026, chúng vẫn có thể đe dọa hàng triệu thiết bị. Ông cho biết Broadcom đã biết vấn đề từ năm 2018 và từng đưa ra biện pháp sửa chữa, nhưng cách xử lý khi đó chưa khắc phục triệt để.

WPSplinter nằm trong cách phần mềm Broadcom xử lý WPS, tức Wi-Fi Protected Setup. Đây là tính năng giúp thiết bị gia nhập mạng không dây mà người dùng không phải nhập mật khẩu theo cách thông thường.

Kaiser phát hiện các thông điệp WPS được tạo đặc biệt có thể làm hỏng dữ liệu trong bộ nhớ của bộ định tuyến. Từ đó, kẻ tấn công có khả năng thực thi mã tùy ý — buộc thiết bị chạy những chỉ lệnh do mình kiểm soát. Điều kiện đáng chú ý là người tấn công chỉ cần ở trong phạm vi sóng Wi-Fi, thay vì phải đăng nhập vào mạng trước.

Trong thử nghiệm với thiết bị ASKEY TCG3000, Kaiser đã chạy mã trên thiết bị, lấy mật khẩu Wi-Fi từ bộ nhớ rồi truyền thông tin đó ra ngoài qua sóng vô tuyến. Sau đó, ông dùng chính mật khẩu thu được để kết nối vào mạng. Đây là minh chứng khai thác trong nghiên cứu, không phải bằng chứng về một vụ tấn công thực tế.

Kaiser đã trình diễn các cách khai thác hoạt động được trên bộ định tuyến do hai nhà cung cấp Internet tại Bỉ là Proximus và Orange cung cấp. Ông cũng xác định lỗi trên thiết bị Netgear và Technicolor do VOO phân phối.

Theo ước tính sơ bộ của nhà nghiên cứu, khoảng 850.000 thiết bị của Proximus, 500.000 thiết bị của VOO và 210.000 thiết bị của Orange Belgium có thể bị ảnh hưởng. Tổng cộng là khoảng 1,56 triệu thiết bị chỉ riêng tại Bỉ. Tuy nhiên, Kaiser nhấn mạnh đây là số liệu ước tính, chưa phải số thiết bị dễ bị tấn công đã được kiểm đếm đầy đủ.

Phạm vi rủi ro có thể vượt xa thị trường này: công nghệ Wi-Fi của Broadcom được hàng chục nhà sản xuất sử dụng trong hàng trăm sản phẩm. Dù vậy, chưa có con số xác nhận về tổng lượng thiết bị bị ảnh hưởng trên toàn cầu.

Nhóm đáng lo nhất là các bộ định tuyến dùng chip Broadcom đời cũ dựa trên eCos, một hệ điều hành nhúng dành cho thiết bị chuyên dụng, gồm BCM3380, BCM3383 và BCM33834. Kaiser gọi tình trạng này là “lỗ hổng có thể tồn tại vĩnh viễn”, hàm ý một số thiết bị có thể sẽ không bao giờ nhận được bản sửa lỗi.

Các thiết bị dùng chip BCM3390, BCM65xx và BCM68xx chạy Linux cũng không mặc nhiên an toàn. Theo Kaiser, Broadcom đã khuyến nghị nhà sản xuất chuyển từ phần triển khai độc quyền sang hostapd — phần mềm mã nguồn mở phụ trách các chức năng điểm truy cập và xác thực Wi-Fi.

Vì vậy, khả năng khắc phục còn phụ thuộc vào từng nhà sản xuất và nền tảng thiết bị. Với những bộ định tuyến đã hết thời gian hỗ trợ, việc chờ một bản cập nhật có thể không mang lại kết quả.

Kaiser cho biết ông gửi báo cáo đầu tiên cho Broadcom ngày 18/7, tiếp tục báo cáo ngày 27/7 và dành thời hạn 90 ngày trước khi công khai phát hiện. Ngày 28/7, Broadcom trả lời rằng đã có bản vá và khuyên ông liên hệ trực tiếp với các nhà sản xuất bị ảnh hưởng.

Tuy nhiên, theo lời nhà nghiên cứu, hôm sau công ty từ chối cấp mã CVE hoặc cung cấp bản sao thông báo mà hãng nói đã gửi cho các nhà sản xuất qua cổng khách hàng. CVE là mã định danh chuẩn giúp các bên cùng theo dõi một lỗ hổng bảo mật, thay vì phải dựa vào những tên gọi khác nhau.

Kaiser cũng liên hệ Proximus, tìm cách tiếp cận Orange Belgium và VOO, đồng thời chuyển phát hiện cho cơ quan an ninh mạng quốc gia Bỉ. Ông còn mở hồ sơ tại CERT/CC, tổ chức điều phối xử lý lỗ hổng. Hồ sơ được đóng ngày 4/8 vì Broadcom vốn là đơn vị có quyền cấp mã CVE nhưng đã từ chối đăng ký lỗ hổng này.

Đến ngày 15/10, Kaiser nói chưa thiết bị nào trong số những thiết bị bị ảnh hưởng mà ông xác định nhận được bản vá. Sự khác biệt giữa tuyên bố “đã có bản vá” và việc bản vá thực sự đến tay người dùng là điểm mấu chốt của vụ việc.

Kaiser chưa báo cáo bằng chứng WPSplinter đang bị khai thác trong thực tế. Tuy nhiên, những thử nghiệm của ông cho thấy một kẻ ở gần nhà hoặc văn phòng có thể tìm cách chiếm quyền bộ định tuyến dễ bị tổn thương, đánh cắp thông tin truy cập mạng hoặc can thiệp lưu lượng dữ liệu.

Nhà nghiên cứu cũng cho biết trí tuệ nhân tạo đã rút ngắn đáng kể quá trình điều tra: công việc mà ông ước tính thông thường cần nhiều tháng được hoàn thành trong chưa đầy một tuần nhờ các mô hình AI tiên tiến. Nhưng tốc độ tìm ra lỗi không đồng nghĩa với tốc độ sửa lỗi. Với WPSplinter, câu hỏi còn bỏ ngỏ là bao nhiêu thiết bị đang hoạt động sẽ thực sự được bảo vệ, và bao nhiêu thiết bị cũ sẽ tiếp tục mang theo điểm yếu này.