Movistar y Orange aseguran que no tienes que hacer nada con tu router tras el fallo de seguridad descubierto en el wifi de Broadcom: dicen que las actualizaciones se aplican de forma automática. La vulnerabilidad, bautizada como WPSplinter por su descubridor, afecta al código WPS que Broadcom incluye en sus chips, presentes según el investigador en millones de puntos de acceso, y permite tomar el control de algunos equipos desde el alcance de su señal wifi. Lo cuenta Xataka, y el investigador lo detalla en su publicación técnica y en la documentación del fallo.

Lo más inquietante no son los routers, sino cómo ha llegado el asunto hasta aquí: el fallo no tiene número CVE porque Broadcom se negó a pedirlo.

¿Qué es WPSplinter?

Un desbordamiento de memoria en la implementación propia del WPS de Broadcom, el sistema que permite conectar un dispositivo al wifi pulsando un botón. El error está en cómo el router reensambla ciertos mensajes fragmentados, y según su descubridor, el investigador de seguridad Quentin Kaiser, lleva en el kit de desarrollo de Broadcom desde al menos 2010.

El impacto, según la documentación técnica, va desde filtrar memoria hasta ejecutar código arbitrario, con privilegios de administrador en las demostraciones. El atacante no necesita la contraseña del wifi ni completar un emparejamiento WPS: le basta con estar al alcance de la señal. No es un ataque remoto por internet, como han dicho algunos medios, aunque el investigador asegura que funciona «desde el otro lado de la calle» y a bastante distancia.

Kaiser lo presentó el 16 de octubre en la conferencia Hexacon, en París, y cuenta que lo encontró en menos de una semana con ayuda de modelos de IA de frontera trabajando como agentes. No consta que nadie lo haya explotado todavía de forma maliciosa.

¿Por qué no tiene CVE?

Porque Broadcom, que puede asignarlos, se negó a solicitarlo. Según la cronología del investigador, avisó a Broadcom el 18 y el 27 de julio. El 28, la empresa respondió que había un parche y le remitió a los fabricantes. Al día siguiente rechazó pedir un CVE y compartir su aviso a fabricantes, alegando que ese software está obsoleto y fuera de su periodo de soporte. Kaiser añade que Broadcom ya publicó en silencio un arreglo incompleto en 2018 y recomendó migrar a otro software.

La consecuencia práctica es seria. Sin CVE no hay puntuación de gravedad ni aviso estándar, y muchos operadores y empresas dependen de esos identificadores para saber qué parchear. El investigador clasifica los chips BCM3380, BCM3383 y BCM33834, con sistema eCos, como un fallo que no se corregirá nunca, y los BCM3390, BCM63xx, BCM65xx y BCM68xx, con Linux, como en riesgo de serlo si los fabricantes no actualizan. Insiste en que tener uno de esos chips no implica por sí solo ser vulnerable.

¿Qué routers españoles aparecen?

La lista pública del investigador da como confirmados cuatro modelos usados en España: el Askey RTF3505VW, el MitraStar GPT-2541GNAC y el Comtrend VG8050, de Movistar, O2 y Telefónica, y el ZTE F680 v4, de MásMóvil. Como probable figura además el Sagemcom F@ST 5657 de Yoigo.

Xataka incluye también el Sagemcom Fast 5656, el Livebox Fibra de Orange. Conviene tomar ese dato con cautela: en la lista del investigador ese modelo figura como probable para Orange Polonia, no para España, y Roams explica que la unidad que aparece en la presentación es de Orange Francia. Eso sí, Orange cita su router Livebox entre los equipos con componentes afectados.

En Bélgica, el investigador demostró el ataque en routers de tres de los cuatro operadores que probó, y Proximus desactivó el WPS en toda su flota en unas 24 horas.

¿Qué dicen Movistar y Orange, y qué tienes que hacer?

Ambas operadoras dicen que se ocupan ellas. Orange, en declaraciones a Xataka, explica que conoce posibles vulnerabilidades en ciertos componentes, incluido su router Livebox, que no ha identificado ningún caso de explotación, que despliega las correcciones con sus proveedores de forma automática y que sus clientes no necesitan hacer nada. Telefónica asegura que está en contacto con los fabricantes para hacer pruebas en los equipos que gestiona.

En su foro oficial de clientes, según recogen Xataka y Xataka Móvil, Movistar habla de una posible vulnerabilidad en determinados modelos y afirma que las actuaciones necesarias se hacen de forma preventiva y automática, sin que haga falta cambiar la configuración ni el equipo.

¿Y desactivar el WPS? Es el consejo que se ha repetido, pero el propio investigador advierte en su documentación de que no es una solución fiable: en algunos equipos, apagar la opción no desactiva el código vulnerable. Su recomendación es preguntar al operador o al fabricante si hay una actualización de firmware que lo corrija. Si tu router es de compra propia y ya no recibe actualizaciones, el riesgo es el que explicamos en qué pasa cuando un dispositivo deja de actualizarse, y quizá sea el momento de sustituirlo. No es la primera vez este mes que un parche tarda en llegar a donde hace falta: pasó con los servidores de Plex sin actualizar.

Mi postura: los operadores probablemente tienen razón en que el cliente no puede hacer gran cosa, porque los routers que entregan los controlan ellos. Pero «no tienes que hacer nada» no es lo mismo que «ya está arreglado», y ninguna de las dos operadoras ha publicado una lista de modelos concretos ni ha dicho cuándo termina la actualización. El problema de fondo es Broadcom. Una empresa cuyos chips están, según el investigador, en millones de puntos de acceso no debería poder decidir que un fallo con ejecución de código no merece un identificador público porque el software es viejo. Precisamente por viejo sigue funcionando en tantas casas.