Broadcom'un WPS açığı: Şifre bilmeden Wi-Fi menzilinden modeme girmek ve hiç gelmeyecek yama

Ne bulundu?

Belçikalı güvenlik araştırmacısı Quentin Kaiser, 16 Ekim’de Paris’teki Hexacon konferansında, birçok modem ve erişim noktasının içindeki Broadcom yazılımında bir açık anlattı. Açık, WPS (Wi-Fi Protected Setup) kodunda. WPS, modemdeki o “bas, bağlan” düğmesinin arkasındaki protokol: Şifre yazmadan bir cihazı ağa eklemek için tasarlanmıştı. Tasarımı yıllar önce kaba kuvvet saldırılarıyla delindiği için çoğu kişi kullanmıyor. Ama birçok cihazda hâlâ açık ve çalışıyor.

Saldırganın ihtiyacı çok az: Wi-Fi menzilinde olmak. Ağ şifresini bilmesi, WPS eşleşmesini tamamlaması ya da modemde oturum açması gerekmiyor. Kaiser bunu iki gerçek cihazda gösterdi. Orange Belçika’nın Askey TCG3000 modeminde saldırı kodu, kayıtlı Wi-Fi şifresini okuyup havadan saldırgana gönderiyor, saldırgan da ağa normal şekilde katılıyor. Proximus’un Sagemcom modeminde ise Wi-Fi çerçeveleri üzerinden çalışan bir uzaktan kabuk (reverse shell) açıyor. Dışarıda bir sunucuya bile gerek yok.

Hata nerede?

Çip üreticileri, cihaz üreticilerine (OEM) bir SDK verir: Çipi çalıştıran, Wi-Fi’yi yöneten hazır yazılım paketi. Modem markası bunun üstüne kendi arayüzünü ekler. Broadcom’un SDK’sında WPS’i yöneten süreç wps_monitor. Hata, uzun WPS mesajlarının parçalar (fragment) hâlinde gönderildiği durumda, bu parçaları birleştiren kodda.

Low Level videosunda kodu adım adım okuyor. Mantık şu: Gönderen taraf önce “toplam şu kadar bayt göndereceğim” diyor, sonra parçaları yolluyor. Kod, gelen parçanın bu toplamı aşmadığını kontrol ediyor. Kâğıt üstünde doğru bir kontrol. Sorun, iki sayının da saldırganın gönderdiği paketten gelmesi. Saldırgan ikisi hakkında da yalan söyleyebiliyor. Sonuçta veri, ayrılan alana sığmayacak kadar uzun kopyalanıyor. Bu klasik bir arabellek taşması (buffer overflow). C’de yazılmış ağ kodunda en sık görülen hata türü. Kural basit: Ağdan gelen bir uzunluk değerine, kendi ayırdığın alanın boyutuyla karşılaştırmadan asla güvenme.

Neden yama gelmiyor?

Kaiser’in yazısındaki takvim, olayın asıl hikâyesi:

• Hatalı kod, Broadcom SDK’sında en az 2010’dan beri var.
• 2018’de Broadcom sessizce eksik bir düzeltme çıkarmış. Daha yeni SDK’larda ise bu bileşeni açık kaynak hostapd ile değiştirmiş ve üreticilere ona geçmelerini önermiş.
• Temmuz 2026’da Kaiser iki raporu Broadcom’a gönderdi. Broadcom bir yamanın zaten var olduğunu, cihaz üreticileriyle konuşmasını söyledi. CVE numarası açmayı reddetti.
• Kaiser, CERT/CC’ye başvurdu. Ama Broadcom kendi ürünleri için CVE verme yetkisine sahip bir kurum (CNA) olduğu için dosya aynı gün kapandı.

CVE numarası yoksa, birçok şirketin otomatik güvenlik taraması bu açığı hiç görmüyor. Daha önemlisi, eski eCos tabanlı çiplerde (BCM3380, BCM3383, BCM33834) düzeltme hiç gelmeyecek. Kaiser buna “forever day” diyor: Asla yamanmayacak açık. Linux tabanlı daha yeni çiplerde (BCM3390, BCM65xx, BCM68xx) ise çözüm, üreticilerin yeni SDK’ya geçmesine bağlı.

Kaiser’in tahminine göre yalnızca Belçika’da yüz binlerce modem etkileniyor. Proximus, tüm modemlerinde WPS’i kapattı ve önümüzdeki haftalarda yama planlıyor. Orange Belçika da WPS’i kapatmayı değerlendiriyor.

Senin için ne demek?

Wi-Fi menzili artık “fiziksel erişim” sayılmamalı. Volexity 2024’te, bir devlet destekli grubun hedefin yanındaki binaların Wi-Fi ağları üzerinden bir şirkete sızdığını belgelemişti. Bu açık da tam o tür saldırılara uygun.

Pratikte yapabileceklerin sınırlı: Kullanmıyorsan modeminin arayüzünde WPS’i kapat. Ama bunun her cihazda yeterli olduğu doğrulanmış değil. Proximus’un çözümü, WPS’i kendi tarafında tüm modemlerde kapatmaktı. Arayüzdeki düğmenin aynı işi yapıp yapmadığı cihaza göre değişebilir. İnternet sağlayıcının verdiği eski bir modem kullanıyorsan, sağlayıcına sor ya da yenisini iste. Ağında önemli cihazlar varsa onları misafir ağından ve IoT cihazlarından ayır. Kaiser’in GitHub’da paylaştığı YARA kuralı ve betik ise üretici ve sağlayıcıların cihazlarını taraması için. Bir eşleşme, cihazın kesin açık olduğunu değil, incelenmesi gerektiğini gösteriyor.

Güvenlik açıklarının bulunma hızı artarken asıl darboğazın yama olduğunu Kara Ekim yazımızda anlatmıştık. Bu olay o zincirin en zayıf halkasını gösteriyor: Çip üreticisinden sağlayıcıya uzanan, kimsenin tam sorumluluk almadığı eski cihazlar.

Düşün

• Evindeki modemin en son ne zaman güncellendiğini biliyor musun? Bunu nereden kontrol ederdin?
• Bir şirketin kendi ürününe CVE açmayı reddedebilmesi sence doğru mu? Bu yetki kimde olmalı?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.