WPSplinter: Wenn ein 16 Jahre alter Router-Bug zurückkommt

Hallo, hier ist wieder Kora. Manche Sicherheitslücken verschwinden nicht, sie gehen nur für ein paar Jahre schlafen. Genau so ein Fall liegt mit „WPSplinter“ auf dem Tisch – einem Fehler, der laut Hersteller bereits seit 2010 bekannt war und jetzt in neuer Form wieder auftaucht.

Was gefunden wurde

Der belgische Sicherheitsforscher Quentin Kaiser hat in der WLAN-Implementierung von Broadcom zwei Fehler aufgespürt. Das Unangenehme daran: Diese Implementierung steckt nicht nur in einem Gerät eines einzelnen Herstellers, sondern wird von dutzenden Routerbauern verwendet. Kaiser spricht von hunderten Produkten und potenziell Millionen betroffenen Access Points weltweit.

Angriffsvektor ist WPS, also Wi-Fi Protected Setup – jenes Komfortfeature, mit dem man ein Gerät per Tastendruck ohne Passworteingabe ins WLAN holt. Über eine manipulierte WPS-Nachricht lässt sich der Speicher des Routers verändern. Wer in Funkreichweite steht, kann so eigenen Code ausführen. In seinen Tests hat Kaiser auf diesem Weg das WLAN-Passwort aus dem Speicher ausgelesen und sich damit ganz regulär ins Netz eingeklinkt. Wer nicht regelmäßig die Liste der verbundenen Geräte prüft, bekommt davon schlicht nichts mit.

Die Lieferketten-Geschichte dahinter

Für mich ist der spannendste Teil nicht der Exploit selbst, sondern die Chronologie. Broadcom soll das Problem bereits seit 2010 gekannt und 2018 ohne öffentliche Meldung gefixt haben. Offenbar war dieser Fix nicht ausreichend. Die nun gemeldete Variante hat Broadcom bislang nicht adressiert und verweist auf die einzelnen Gerätehersteller. Kaiser hat zusätzlich Hersteller in Belgien und die dortigen Cybersecurity-Behörden kontaktiert – bis zur Veröffentlichung kam von keiner Seite eine Reaktion.

Das ist ein Muster, das wir in der IT viel zu oft sehen: Eine Komponente tief unten im Stack wird von vielen weiterverwendet, der Fix bleibt still, und oben in der Produktkette weiß am Ende niemand mehr, welche Firmware-Version eigentlich welchen Stand enthält. Genau dieselbe Dynamik kennen wir aus der Software-Entwicklung bei Abhängigkeiten in Paketmanagern. Nur dass sich ein Router im Wohnzimmer oder in der Filiale eben nicht per npm audit prüfen lässt.

Was ihr jetzt tun könnt

• WPS abschalten. Das ist aus meiner Sicht der wichtigste Schritt. Der Komfortgewinn steht in keinem Verhältnis zum Risiko – einmal ein starkes Passwort eintippen tut niemandem weh.
• Betroffenheit prüfen. Kaiser pflegt auf seiner GitHub-Seite zum Fund eine Liste der betroffenen Router und aktualisiert sie regelmäßig. Ein Blick darauf lohnt sich.
• Firmware aktuell halten. Sobald euer Hersteller reagiert, sollte das Update zeitnah drauf. Automatische Updates sind hier euer Freund.
• Verbundene Geräte kontrollieren. Ein unbekannter Client in der Liste ist das deutlichste Warnsignal, das ihr bekommen werdet.

Und was heißt das fürs Rechenzentrum?

Ganz ehrlich: Im Serverraum steht kein Consumer-Router mit WPS-Taste. Aber die Lehre daraus betrifft uns trotzdem. Erstens arbeiten eure Leute im Homeoffice hinter genau solchen Geräten – ein kompromittiertes Heimnetz ist ein realer Einstiegspunkt in eure Infrastruktur. Deshalb: VPN, saubere Authentifizierung und die Annahme, dass das Netz zwischen Nutzer und Anwendung niemals vertrauenswürdig ist. Zero Trust ist hier kein Buzzword, sondern schlicht die praktikable Antwort.

Zweitens erinnert uns der Fall daran, wie wichtig ein belastbarer Überblick über eingesetzte Komponenten ist. Wer nicht weiß, welche Firmware- und Bibliotheksstände in seiner Umgebung laufen, kann bei einer Meldung wie dieser auch nicht sagen, ob er betroffen ist. Ein gepflegtes Inventar und ein definierter Patch-Prozess sind unspektakulär, aber sie entscheiden im Ernstfall über Reaktionszeit.

Drittens – und das ärgert mich am meisten – zeigt WPSplinter, wie wenig ein stiller Fix wert ist. Ohne Veröffentlichung, ohne CVE, ohne Information an die abnehmenden Hersteller kann niemand nachvollziehen, ob ein Problem wirklich erledigt ist. Transparenz bei Schwachstellen ist kein Imagerisiko, sondern die Grundlage dafür, dass die Kette überhaupt funktioniert.

Bis demnächst, eure Kora

Quelle: t3n