브로드컴 SDK WPS 취약점 공개…일부 공유기서 인증 없는 코드 실행

브로드컴 소프트웨어개발키트(SDK)의 WPS 처리 결함을 이용해 일부 공유기에서 인증 없이 코드를 실행할 수 있다는 연구 결과가 공개됐다. 보안 연구자 쿠엔틴 카이저가 16일(현지시간) 공개한 원문 분석과 보안 콘퍼런스 Hexacon의 공식 발표 소개에 따르면, 공격자는 와이파이 통신 범위 안에서 네트워크 키를 모르거나 정상적인 WPS 등록을 마치지 않은 상태에서도 취약점에 접근할 수 있다.

WPS는 무선 기기를 네트워크에 간편하게 연결하기 위한 기능이다. 이번 연구는 브로드컴의 독자적인 802.11 구현에서 WPS 메시지 조각을 재조립하는 경로를 다뤘다. 카이저는 eCos 기반의 구형 케이블 게이트웨이에서 출발해 리눅스 기반 플랫폼까지 분석을 확장했으며, ARM과 MIPS 펌웨어 및 여러 완제품에서 정보 유출과 임의 코드 실행이 가능한 동작을 확인했다고 설명했다. 리눅스 커널 자체의 공통 취약점을 뜻하는 것은 아니다.

공격 조건에서 중요한 것은 무선 도달 범위다. 연구자가 제시한 방식은 인터넷 어디서나 공유기에 접속하는 공격과는 구분된다. 카이저는 Orange Belgium의 ASKEY TCG3000과 Proximus의 BBOX3V+를 대상으로 한 시연을 공개했으며, 정상적인 네트워크 접속 전에 공유기에서 코드를 실행하는 과정을 제시했다.

공개된 분석은 칩 공급사의 수정과 실제 설치 장비의 패치 사이에 생기는 간극도 보여준다. 발표 자료에 실린 브로드컴의 7월 27일 답변에 따르면, 회사는 취약점이 없는 업데이트 소프트웨어를 고객사에 수년간 제공해 왔으며 기존 WPS Monitor 기반 구현을 2018년부터 HostAPD와 WPA Supplicant 기반 구현으로 교체했다.

반면 카이저는 자신이 확인한 벨기에 통신사들의 해당 장비가 10월 15일 기준으로 패치되지 않은 상태였다고 밝혔다. 이는 연구자가 조사한 모델과 시점에 관한 설명이다. 같은 발표 자료에는 프랑스에서 점검한 장비 가운데 패치된 모델과 패치되지 않은 모델이 함께 제시돼 있어, 브로드컴 기반 제품 전체가 동일한 상태라고 볼 수는 없다.

연구자는 공개 저장소에 브로드컴 구현을 식별하는 무선 지문 확인 스크립트와 펌웨어용 YARA 규칙을 배포했다. 다만 저장소는 이 도구들을 초기 선별 수단으로 명시한다. 컴파일러 차이로 패턴이 누락되거나 패치된 바이너리에 기존 문자열·코드 일부가 남을 수 있어, 탐지 결과만으로 취약 여부를 확정하지 말고 소스나 재조립 과정의 길이 검증 코드를 별도로 검토해야 한다는 설명이다.

이번 공개의 쟁점은 같은 SDK 구성요소가 제조사와 통신사를 거쳐 서로 다른 제품에 오래 남을 수 있다는 점이다. 실제 영향 여부는 칩 이름뿐 아니라 기기 모델, 펌웨어 버전, 통신사의 배포 상태를 함께 확인해야 한다. 국내 판매 제품의 영향이나 실제 악용 피해 규모는 이번 연구만으로 판단할 수 없다.

출처: 쿠엔틴 카이저 연구자 원문 https://quentinkaiser.be/security/2026/10/16/one-parser-two-bugs/ / 연구자 Hexacon 발표 자료 https://quentinkaiser.be/assets/qkaiser-broadcom-wps-hexacon-2026.pdf / Hexacon 공식 발표 소개 https://www.hexacon.fr/conference/speakers/#one_parser_two_bugs / 연구자 공식 GitHub 저장소 https://github.com/qkaiser/broadcom-wps/