Het artikel beschrijft een kritieke beveiligingslek in de propriëtaire 802.11-implementatie van Broadcom, die al sinds 2010 in hun SDK aanwezig is. Deze kwetsbaarheid maakt het mogelijk om op afstand, zonder netwerksleutel, informatie te lekken of willekeurige code uit te voeren (RCE) op zowel eCos- als Linux-gebaseerde platforms.
Belangrijkste punten:
- Impact: Miljoenen access points van honderden leveranciers zijn getroffen. In België zijn specifiek routers van Proximus, VOO en Orange kwetsbaar.
- Exploitatie: De auteur demonstreert hoe men een root-shell kan verkrijgen of PSK-sleutels kan uitlezen via 802.11-frames.
- Problematiek: Ondanks een patch uit 2018 en meldingen aan Broadcom en ISP's, zijn veel apparaten nog steeds niet bijgewerkt, wat resulteert in een 'forever day' scenario.
- Conclusie: De auteur benadrukt dat AI-modellen de snelheid van vulnerability research drastisch hebben verhoogd en waarschuwt voor de gevaren van technische schuld in hardware-beveiliging.
Eén parser, twee bugs, vele routers: Broadcom WiFi exploiteren op eCos en Linux
Een kwetsbaarheid in de propriëtaire implementatie van 802.11 van Broadcom is sinds ten minste 2010 aanwezig in hun SDK. In 2018 werd er stilletjes een onvolledige patch uitgebracht, gevolgd door het advies van Broadcom om over te stappen op hostapd. Hierdoor is er sprake van een definitieve "forever day" op eCos-gebaseerde platforms (BCM3380, BCM3383, BCM33834) en een potentiële "forever day" op Linux-platforms (BCM3390, BCM65xx, BCM68xx), tenzij de betreffende Original Equipment Manufacturers (OEM's) bereid zijn om te migreren.
De kwetsbaarheid kan op afstand via WiFi worden getriggerd zonder kennis van de netwerksleutel of het voltooien van een normale WPS-registratie. Exploitatie maakt gecontroleerde informatie-onthulling (information disclosure) en willekeurige code-uitvoering (arbitrary code execution) mogelijk.
Het treft tientallen leveranciers, honderden producten en miljoenen Broadcom-gebaseerde access points wereldwijd. Om alle getroffen leveranciers en apparaten in kaart te brengen, stel ik een fingerprinting-script en een YARA-regel ter beschikking om te helpen de omvang van het probleem te documenteren.
Volgens de reactie van Broadcom zelf zijn ze sinds 2018 op de hoogte van de bug en hebben ze hierover informatie ontvangen van andere externe partijen. Toch weigerden ze een CVE toe te kennen aan deze kwetsbaarheid of hier publiekelijk over te communiceren, wat waarschijnlijk de reden is dat veel OEM's geen patch hebben toegepast.
Ik heb aangetoond dat de kwetsbaarheid aanwezig is en exploiteerbaar is bij 3 van de 4 Belgische internetproviders, waaronder:
- Proximus (BBOX 3V+)
- VOO (Netgear CG3100, Netgear CG3700, Technicolor 7210, CGA4233)
- Orange (ASKEY TCG3000)
Telenet is mogelijk ook getroffen via Sagemcom F@st-apparaten, maar ik kon geen exemplaar bemachtigen.
Per 15 oktober 2026 zijn geen van deze getroffen apparaten gepatcht. Dit betekent dat men vanaf de overkant van de straat een root-shell kan verkrijgen op een significant aandeel routers in België, en waarschijnlijk ook elders.
Demo's
In de eerste demo exploiteer ik een Orange Belgium CPE (de ASKEY TCG3000). De exploit verkrijgt ongeauthentiseerde remote code execution. De willekeurige shellcode die ik uitvoer, haalt de PSK uit het NVRAM en stuurt deze via 802.11 terug naar de aanvaller. Ten slotte maak ik verbinding met het netwerk met de gelekte sleutel om aan te tonen dat het doelwit stabiel blijft en de PSK correct is. (Let op: deze aanval werkt over lange afstanden, ondanks de nabijheid van de antenne in de video).
In de tweede demo exploiteer ik een Proximus CPE (de BBOX3V+, ook bekend als Sagemcom F@st). De exploit verkrijgt ongeauthentiseerde remote code execution. Ik gebruik deze mogelijkheid om een reverse shell over 802.11-frames te verkrijgen, waardoor er geen C2-server in de cloud nodig is.
Presentatie
De slides van mijn presentatie zijn beschikbaar; deze gaan in op agentic vulnerability research, de implementatie van 802.11-parsing in Broadcom's eCos en Linux, de bug zelf, exploitatie-primitieven, chaining, supply chain security en de getroffen apparaten.
Schattingen
Op basis van gegevens gepubliceerd door de IBPT en publieke communicatie van ISP's over modelreleases over de afgelopen jaren, is de volgende schatting gemaakt (met een gemiddelde betrouwbaarheid):
| ISP | Abonnees | Geschatte getroffen gateways | Getroffen modellen |
|---|
| Proximus | 2.318.000 | 850.000 | BBOX 3, BBOX3V+ |
| VOO (legacy fleet) | ~500.000 | 500.000 | Netgear CG3100, Netgear CG3700, Technicolor TC7210, CGA4233 |
| Orange Belgium | ~547.000 | 210.000 | ASKEY TCG3000 |
| Telenet | ~1.758.000 | ? | F@ST3896LG (te bevestigen), F@ST5685LGB (te bevestigen) |
Tijdlijn van openbaarmaking
Er is een strikt openbaarmakingsbeleid van 90 dagen gevolgd, beginnend op 18 juli 2026. Alle partijen werden geïnformeerd over de deadline van 16 oktober 2026. Er is bewust niet gekozen voor een kortere tijdlijn uit eerlijkheid naar de ISP's, noch voor een verlenging, omdat dit in het verleden door leveranciers is misbruikt om slechts gedeeltelijke mitigaties na negen maanden of langer te implementeren.
- 18/07/2026 - Rapport KS-20260718-02 verzonden naar Broadcom PSIRT (WPS EAP reassembly overflow op BCM3380, BCM3383, BCM33834).
- 27/07/2026 - Rapport KS-20260727-01 verzonden naar Broadcom PSIRT (WPS EAP reassembly overflow op BCM3390, BCM65xx, BCM68xx).
- 28/07/2026 - Broadcom antwoordt dat er een patch beschikbaar is en dat ik contact moet opnemen met de fabrikant van getroffen apparaten om hen te wijzen naar Broadcom.
- 29/07/2026 - Follow-up met Broadcom. Zij weigeren een CVE te registreren of een kopie te verstrekken van de melding die naar OEM's is gestuurd via het Broadcom Customer Portal.
- 29/07/2026 - Gedetailleerd rapport verzonden naar Proximus via hun CVD-formulier.
- 29/07/2026 - Poging tot contact met Orange Belgium.
- 29/07/2026 - Poging tot contact met VOO (tegenwoordig Orange).
- 29/07/2026 - Rapport en toolkit verzonden naar het Cyber Security Center Belgium om niet-reagerende ISP's te kunnen bereiken.
- 29/07/2026 - Proximus vraagt om toegang tot het volledige rapport; dit wordt verzonden.
- 04/08/2026 - Case geopend bij CERT/CC via VINCE. Case dezelfde dag gesloten omdat Broadcom een CVE Numbering Authority is en niet bereid is een CVE te registreren.
- 18/08/2026 - CISO van Orange Belgium volgt mij nu op LinkedIn. Nog steeds geen antwoord van Orange.
- 25/08/2026 - Follow-up gesprek met Proximus PSIRT-analist.
- 16/10/2026 - Presentatie op Hexacon in Parijs.
Tot op heden is er geen informatie over de maatregelen die door getroffen leveranciers en ISP's zijn genomen. Per 15 oktober 2026 ontbreekt de patch nog steeds op al deze apparaten. Dit is niet beperkt tot België; de getroffen fabrikanten bedienen een grotere markt.
Belangrijkste conclusies
Security through Complexity is dood. Hoewel ik dit onderzoek zelf had kunnen doen, zou dat maanden hebben gekost. Met AI-frontier-modellen kostte het me minder dan een week. Dit is positief, omdat we nu voor een fractie van de kosten diepere lagen van onze technische infrastructuur kunnen onderzoeken.
Verschillen in support-vensters zijn kansen voor aanvallers. Een bug die in 2010 is geïntroduceerd, met een patch uit 2018, is in 2026 nog steeds aanwezig in access points die door OEM's worden verkocht en door ISP's zijn ingezet. De "houdbaarheid" van deze bug is dus 16 jaar.
Onze technische schuld wordt geïnd. Door wie? Dit soort kwetsbaarheden zijn perfect voor dreigingsactoren die houden van "Nearest-Neighbour Attacks" of het compromitteren van hotelnetwerken. Ze zijn zeer gericht, vinden over de lucht plaats, en richten zich op apparaten waar verdedigers zeer beperkt zicht op hebben, wat manipulatie en collectie van verkeer mogelijk maakt.
Eén parser, twee bugs, vele routers: Broadcom WiFi exploiteren op eCos en Linux
Een kwetsbaarheid in de propriëtaire implementatie van 802.11 van Broadcom is sinds ten minste 2010 aanwezig in hun SDK. In 2018 werd er stilletjes een onvolledige patch uitgebracht, gevolgd door het advies van Broadcom om over te stappen op hostapd. Hierdoor is er sprake van een definitieve "forever day" op eCos-gebaseerde platforms (BCM3380, BCM3383, BCM33834) en een potentiële "forever day" op Linux-platforms (BCM3390, BCM65xx, BCM68xx), tenzij de betreffende Original Equipment Manufacturers (OEM's) bereid zijn om te migreren.
De kwetsbaarheid kan op afstand via WiFi worden getriggerd zonder kennis van de netwerksleutel of het voltooien van een normale WPS-registratie. Exploitatie maakt gecontroleerde informatie-onthulling (information disclosure) en willekeurige code-uitvoering (arbitrary code execution) mogelijk.
Het treft tientallen leveranciers, honderden producten en miljoenen Broadcom-gebaseerde access points wereldwijd. Om alle getroffen leveranciers en apparaten in kaart te brengen, stel ik een fingerprinting-script en een YARA-regel ter beschikking om te helpen de omvang van het probleem te documenteren.
Volgens de reactie van Broadcom zelf zijn ze sinds 2018 op de hoogte van de bug en hebben ze hierover informatie ontvangen van andere externe partijen. Toch weigerden ze een CVE toe te kennen aan deze kwetsbaarheid of hier publiekelijk over te communiceren, wat waarschijnlijk de reden is dat veel OEM's geen patch hebben toegepast.
Ik heb aangetoond dat de kwetsbaarheid aanwezig is en exploiteerbaar is bij 3 van de 4 Belgische internetproviders, waaronder:
- Proximus (BBOX 3V+)
- VOO (Netgear CG3100, Netgear CG3700, Technicolor 7210, CGA4233)
- Orange (ASKEY TCG3000)
Telenet is mogelijk ook getroffen via Sagemcom F@st-apparaten, maar ik kon geen exemplaar bemachtigen.
Per 15 oktober 2026 zijn geen van deze getroffen apparaten gepatcht. Dit betekent dat men vanaf de overkant van de straat een root-shell kan verkrijgen op een significant aandeel routers in België, en waarschijnlijk ook elders.
Demo's
In de eerste demo exploiteer ik een Orange Belgium CPE (de ASKEY TCG3000). De exploit verkrijgt ongeauthentiseerde remote code execution. De willekeurige shellcode die ik uitvoer, haalt de PSK uit het NVRAM en stuurt deze via 802.11 terug naar de aanvaller. Ten slotte maak ik verbinding met het netwerk met de gelekte sleutel om aan te tonen dat het doelwit stabiel blijft en de PSK correct is. (Let op: deze aanval werkt over lange afstanden, ondanks de nabijheid van de antenne in de video).
In de tweede demo exploiteer ik een Proximus CPE (de BBOX3V+, ook bekend als Sagemcom F@st). De exploit verkrijgt ongeauthentiseerde remote code execution. Ik gebruik deze mogelijkheid om een reverse shell over 802.11-frames te verkrijgen, waardoor er geen C2-server in de cloud nodig is.
Presentatie
De slides van mijn presentatie zijn beschikbaar; deze gaan in op agentic vulnerability research, de implementatie van 802.11-parsing in Broadcom's eCos en Linux, de bug zelf, exploitatie-primitieven, chaining, supply chain security en de getroffen apparaten.
Schattingen
Op basis van gegevens gepubliceerd door de IBPT en publieke communicatie van ISP's over modelreleases over de afgelopen jaren, is de volgende schatting gemaakt (met een gemiddelde betrouwbaarheid):
| ISP | Abonnees | Geschatte getroffen gateways | Getroffen modellen |
|---|
| Proximus | 2.318.000 | 850.000 | BBOX 3, BBOX3V+ |
| VOO (legacy fleet) | ~500.000 | 500.000 | Netgear CG3100, Netgear CG3700, Technicolor TC7210, CGA4233 |
| Orange Belgium | ~547.000 | 210.000 | ASKEY TCG3000 |
| Telenet | ~1.758.000 | ? | F@ST3896LG (te bevestigen), F@ST5685LGB (te bevestigen) |
Tijdlijn van openbaarmaking
Er is een strikt openbaarmakingsbeleid van 90 dagen gevolgd, beginnend op 18 juli 2026. Alle partijen werden geïnformeerd over de deadline van 16 oktober 2026. Er is bewust niet gekozen voor een kortere tijdlijn uit eerlijkheid naar de ISP's, noch voor een verlenging, omdat dit in het verleden door leveranciers is misbruikt om slechts gedeeltelijke mitigaties na negen maanden of langer te implementeren.
- 18/07/2026 - Rapport KS-20260718-02 verzonden naar Broadcom PSIRT (WPS EAP reassembly overflow op BCM3380, BCM3383, BCM33834).
- 27/07/2026 - Rapport KS-20260727-01 verzonden naar Broadcom PSIRT (WPS EAP reassembly overflow op BCM3390, BCM65xx, BCM68xx).
- 28/07/2026 - Broadcom antwoordt dat er een patch beschikbaar is en dat ik contact moet opnemen met de fabrikant van getroffen apparaten om hen te wijzen naar Broadcom.
- 29/07/2026 - Follow-up met Broadcom. Zij weigeren een CVE te registreren of een kopie te verstrekken van de melding die naar OEM's is gestuurd via het Broadcom Customer Portal.
- 29/07/2026 - Gedetailleerd rapport verzonden naar Proximus via hun CVD-formulier.
- 29/07/2026 - Poging tot contact met Orange Belgium.
- 29/07/2026 - Poging tot contact met VOO (tegenwoordig Orange).
- 29/07/2026 - Rapport en toolkit verzonden naar het Cyber Security Center Belgium om niet-reagerende ISP's te kunnen bereiken.
- 29/07/2026 - Proximus vraagt om toegang tot het volledige rapport; dit wordt verzonden.
- 04/08/2026 - Case geopend bij CERT/CC via VINCE. Case dezelfde dag gesloten omdat Broadcom een CVE Numbering Authority is en niet bereid is een CVE te registreren.
- 18/08/2026 - CISO van Orange Belgium volgt mij nu op LinkedIn. Nog steeds geen antwoord van Orange.
- 25/08/2026 - Follow-up gesprek met Proximus PSIRT-analist.
- 16/10/2026 - Presentatie op Hexacon in Parijs.
Tot op heden is er geen informatie over de maatregelen die door getroffen leveranciers en ISP's zijn genomen. Per 15 oktober 2026 ontbreekt de patch nog steeds op al deze apparaten. Dit is niet beperkt tot België; de getroffen fabrikanten bedienen een grotere markt.
Belangrijkste conclusies
Security through Complexity is dood. Hoewel ik dit onderzoek zelf had kunnen doen, zou dat maanden hebben gekost. Met AI-frontier-modellen kostte het me minder dan een week. Dit is positief, omdat we nu voor een fractie van de kosten diepere lagen van onze technische infrastructuur kunnen onderzoeken.
Verschillen in support-vensters zijn kansen voor aanvallers. Een bug die in 2010 is geïntroduceerd, met een patch uit 2018, is in 2026 nog steeds aanwezig in access points die door OEM's worden verkocht en door ISP's zijn ingezet. De "houdbaarheid" van deze bug is dus 16 jaar.
Onze technische schuld wordt geïnd. Door wie? Dit soort kwetsbaarheden zijn perfect voor dreigingsactoren die houden van "Nearest-Neighbour Attacks" of het compromitteren van hotelnetwerken. Ze zijn zeer gericht, vinden over de lucht plaats, en richten zich op apparaten waar verdedigers zeer beperkt zicht op hebben, wat manipulatie en collectie van verkeer mogelijk maakt.
Groetjes,