In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità nascosta nei vecchi driver Broadcom che gestiscono il sistema WPS potrebbe mettere a rischio un numero considerevole di router ancora oggi in funzione. Il pericolo è concreto, perché un malintenzionato che si trovi fisicamente nelle vicinanze del dispositivo avrebbe la possibilità di leggerne la memoria oppure, scenario ancora peggiore, di eseguire codice da remoto. Non proprio un dettaglio da poco, per un apparecchio che resta acceso giorno e notte e attraverso cui passa buona parte del traffico di rete.
Il difetto porta già un nome piuttosto evocativo, WPSplinter, scelto dal ricercatore indipendente che lo ha scovato, Quentin Kaiser. Eppure a destare preoccupazione non è soltanto la parte tecnica della faccenda. Ci sono aspetti per così dire di contorno, legati a questioni etiche, burocratiche e amministrative, che mostrano con una certa chiarezza quanto ancora adesso il complicato ingranaggio della sicurezza informatica possa bloccarsi per i motivi più assurdi e disparati. E qui la storia diventa davvero interessante.
Una correzione del 2018 rimasta sulla carta
Il punto è che Broadcom sa dell’esistenza di questa falla da anni. Contattata da Kaiser, l’azienda ha risposto di averla addirittura già sistemata nel 2018. Peccato che la patch non sia mai arrivata sui tanti dispositivi coinvolti. Esiste quindi una correzione ufficiale, almeno in teoria, ma nella pratica i router che dovrebbero beneficiarne continuano a funzionare con il vecchio codice difettoso, esattamente come prima.
Davanti a questa situazione il colosso dei semiconduttori se ne lava sostanzialmente le mani. La sua posizione è piuttosto netta: il proprio compito è stato svolto, e per ottenere una soluzione bisogna rivolgersi ai produttori dei router oppure ai fornitori di rete che quegli apparecchi li hanno distribuiti agli utenti. Un classico rimpallo di responsabilità, insomma, in cui ogni anello della catena guarda a quello successivo e il problema resta lì, irrisolto, dentro i dispositivi.
Il nodo del codice CVE e un supporto ormai scaduto
C’è però un elemento che secondo Kaiser cambia parecchio le carte in tavola. Broadcom non ha mai assegnato alla vulnerabilità un identificativo CVE ufficiale, cioè lo standard internazionale usato per catalogare le falle informatiche e renderne più semplice il monitoraggio. Senza quella sigla, una segnalazione rischia di perdersi nel rumore di fondo, perché manca proprio lo strumento che permette agli addetti ai lavori di accorgersene, seguirla e intervenire. È quindi probabile che l’avviso sia passato in gran parte inosservato agli occhi dei produttori di dispositivi, che di conseguenza non hanno mai integrato la correzione nei propri aggiornamenti.
A complicare ulteriormente il quadro arriva la decisione dell’azienda di non muovere un dito in più. Broadcom si rifiuta di intervenire adesso con nuove iniziative sulla falla WPSplinter, sostenendo che ormai si tratta di hardware e software obsoleti, il cui periodo di supporto ufficiale si è concluso da parecchio tempo. Una motivazione formalmente ineccepibile, che però lascia scoperti tutti quei router ancora in uso con i vecchi driver per il sistema WPS, esposti a un rischio noto da anni ma mai davvero risolto.
Fonte: TecnoAndroid