北京
IT时代网10月20日消息，安全研究人员在巴黎举行的 Hexacon 安全会议上披露，博通 Wi-Fi 软件中存在名为 WPSplinter 的漏洞，利用该漏洞可在无需 Wi-Fi 密码、无需完成 WPS 配对的情况下，从无线信号覆盖范围内远程控制部分路由器，并取得最高的 root 权限。
WPS 全称 Wi-Fi Protected Setup，是路由器上的一种快捷配网功能，支持该功能的设备无需手动输入 Wi-Fi 密码即可连接无线网络。
该漏洞存在于博通专有的 WPS Monitor 组件中，该组件至少自 2010 年起用于博通的 802.11 软件开发套件。
在技术成因方面，设备拆分重组来传输 WPS 消息时未充分限制数据长度，可能导致缓冲区溢出和内存破坏，攻击者可借此进一步执行任意代码。
受影响设备涉及多个品牌和运营商网络，包括部分 TP-Link、Cisco、Nokia、ZTE、Sagemcom、Netgear 等设备。研究人员估计，全球可能有数百万台基于博通芯片的无线接入点受到影响，但型号清单并不完整，不同硬件版本和固件也可能导致风险不同。
这起事件的处置难点在于漏洞没有 CVE 编号。博通称相关软件已过支持期，并表示曾有修复方案，但研究人员称其不完整；截至 10 月 15 日，其测试的设备均未收到补丁。
注：本文配图由AI生成。本文综合自IT之家等，文中包含AI辅助创作的内容。
编辑：刘宁
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
