{"id":"mb-20261017-11ad9b","kind":"deep","title":"博通Wi-Fi芯片16年古董漏洞曝光：隔空免密接管路由器与被忽视的供应链盲区","summary":"安全研究员Quentin Kaiser揭示了博通Wi-Fi协议栈中潜伏16年的WPS分片重组溢出漏洞，攻击者无需密码即可隔空获取路由器最高控制权。尽管早在2018年就知晓问题，博通却拒绝分配CVE编号，下游厂商与运营商亦未推送补丁，导致包括比利时150万台网关在内的全球千万设备长期暴露。","body":"坐在马路对面的车里，连你家 Wi-Fi 密码都不知道，就能直接拿到路由器的最高权限。\n\n你甚至不用按路由器上的那个 WPS 联网小圆钮。\n\n只要设备开着无线信号，攻击者进入射频范围，攻击就已经完成了。\n\n这可不是实验室里的概念验证。\n\n前几天在巴黎 Hexacon 安全大会上，研究员 Quentin Kaiser 现场把几台主流运营商的家用路由器直接打穿了。\n\n他向目标发了几段特定的无线数据包。\n\n几秒钟后，路由器的底层控制权直接到手。\n\n他甚至没给路由器分配局域网 IP 地址，也没连外网服务器。\n\n所有的指令收发，全走最原始的 802.11 无线通信帧。\n\n更绝的是，攻击脚本顺手读了路由器的内部存储，把 Wi-Fi 密码明文抓了出来，无线回传给对面的笔记本。\n\n密码是什么，根本不用猜。\n\n这个让几百万台路由器大开门门的漏洞，到底是怎么来的？\n\n问题出在博通 Broadcom 的无线芯片代码里。\n\n更准确地说，出在它的 WPS 功能模块里。\n\n很多人家里路由器上都有一个 WPS 按钮，按一下，电视或打印机就能免密连上 Wi-Fi。\n\n既然要免密配网，路由器就必须在双方确认身份之前，接收陌生设备发过来的握手数据包。\n\n这个握手过程要走一套叫 EAP 的认证协议。\n\n如果数据包太大，就会被切成很多小碎片，分开发送。\n\n博通在自己的芯片软件里专门写了一个后台进程，负责把这些无线碎片重新拼装回内存缓冲区。\n\n漏洞就藏在 2010 年写进代码的这个拼装逻辑里。\n\n博通的程序员在处理碎片拼接时，没有严格校验每个碎片的长度和缓冲区边界。\n\n只要攻击者伪造一组带有恶意长度字段的碎片发过去，内存缓冲区当场就会被撑爆。\n\n这一溢出，整个内存结构就乱了。\n\n顺着这个溢出点，Quentin Kaiser 拿到了两个关键能力。\n\n第一个是内存任意读取。\n\n通过篡改数据结构里的指针，让路由器把自身内存里的敏感数据，顺着无线电波源源不断地吐出来。\n\nWi-Fi 密码就存在路由器的非易失存储器里，直接被扒了个精光。\n\n第二个是代码任意执行。\n\n通过精准覆盖内存里的函数调用指针，把路由器的执行流直接引向注入的攻击代码。\n\n无需任何账号密码，直接拿下最高管理权限。\n\n听到这里你可能会问：既然找到了问题，打个补丁不就解决了吗？\n\n荒谬的是，这还不是最离谱的地方。\n\n这段带漏洞的代码，早在 2010 年就已经随着博通的无线芯片软件开发包，卖给了全球各家路由器制造商。\n\n到今天，这个漏洞整整活了 16 年。\n\n在比利时，一个 16 岁的人已经能合法走进酒吧买啤酒喝了。\n\n博通知道这个漏洞吗？\n\n早就知道。\n\n早在 2018 年，博通就私下写过一个不完整的修补方案，并在客户门户里提醒设备厂商：这套旧的 WPS 监控程序要淘汰了，建议大家迁移到开源的 hostapd 方案上。\n\n厂商们迁移了吗？\n\n几乎没有。\n\n更换底层的无线协议栈，意味着整个路由器的固件要重写，软硬件兼容性要重新做漫长的测试和认证。\n\n对于很多采用 eCos 实时操作系统的老旧芯片架构，新的开源软件根本跑不起来，这就直接变成了永远无法修复的死穴。\n\n而对于那些能跑 Linux 系统的较新芯片，厂商们也根本没有动力给已经卖出去的老旧机型重新打包固件。\n\nQuentin Kaiser 拿公开数据和运营商采购历史算了一笔账。\n\n光是在比利时，Proximus、Orange 和 VOO 这几家主流运营商发给用户的家用网关里，就有至少 150 万台设备正顶着这个漏洞裸奔。\n\n截至 2026 年 10 月中旬，没有一台收到过补丁。\n\n而在全球范围内，博通的 Wi-Fi 芯片几乎是思科、网件、萨基姆等网络巨头的标配。\n\n全球受影响的家庭网关和无线路由器，保守估计在千万量级以上，甚至可能上亿。\n\n既然漏洞这么严重，为什么各家公司的安全雷达一直没报警？\n\n这就牵扯出了整个硬件供应链里最荒唐的一环：CVE 漏洞编号。\n\n博通自己就是官方授权的漏洞编号分配机构。\n\n当 Kaiser 按照 90 天披露流程向博通提交完整的技术报告时，博通一口拒绝为这个漏洞分配 CVE 编号。\n\n博通给出的理由很轻巧：这是多年前淘汰的老旧软件包，早就不维护了。\n\n因为博通自己卡着编号不放，美国国家漏洞协调中心 CERT/CC 只能直接关单，无法建立公开档案。\n\n没有 CVE 编号，自动化漏洞扫描器就扫不出它。\n\n合规报表上一片绿灯，运营商的安全团队就能当作什么都没发生。\n\nKaiser 试图联系运营商。\n\nOrange 比利时的首席安全官在职场社交网络上加了 Kaiser，但对安全预警邮件只字不回。\n\n整条供应链上的每一方，都在把责任踢给上一级，最后把风险全部留在了普通用户的客厅里。\n\n更有意思的是，Kaiser 是怎么把这个沉睡了 16 年的古董漏洞挖出来的？\n\n他把大语言模型智能体接入了逆向工程工具 Ghidra 和硬件调试接口，让 AI 自主反编译固件、寻找边界漏洞并编写验证脚本。\n\n如果是人类工程师逐行逆向这套庞大晦涩的二进制代码，少说也要花上几个月。\n\n而 AI 智能体带着工具链只用了不到一周。\n\n当 AI 把深挖老旧硬件底层代码的成本打到了几近于零，过去十几年硬件供应链欠下的技术债，正在被成批地翻出来清算。\n\n问题是，站在你家窗外拿着天线的那个人，到底是为了发论文，还是为了别的。","topic":"博通Wi-Fi芯片16年古董漏洞曝光：隔空免密接管路由器与被忽视的供应链盲区","frame_type":["机制"],"citations":[],"channel_note":"","identity_notice":"","source_type":"generated","status":"published","generated_at":"2026-10-17 08:16:57","legal_anchor_count":0,"transcript_citation_count":0}