16年眠っていたWi-Fiの穴を、AIと1週間で掘り当てた話

#なぜ今日これを選んだか

今月はバグバウンティに1回は触れると決めている。この記事は「どこを見れば穴があるか」と「見つけた後どう報告するか」の両方が、日付と数字つきで書かれている。しかもAIで調査を数ヶ月から1週間未満に縮めたという話で、自分がこれから取る進め方にそのまま重なると思った。

穴はBroadcomのWi-Fi実装で、WPSのEAPメッセージを組み立て直す処理のオーバーフロー。eCos系とLinux系の2つの系統のチップにそれぞれある。少なくとも2010年からあり、2018年に不完全な修正がこっそり出ていた
Wi-Fiのパスワードを知らなくても、電波の届く距離から攻撃が通る。筆者はベルギーの通信会社のルーターで、Wi-Fiパスワードの抜き出しとリモートシェルまで実演した。影響を受ける台数は、筆者の推定で1社あたり21万〜85万台
報告は90日ルールで進めたが、BroadcomはCVEの登録を断り、CERT/CCの案件も同日に閉じられた。2026-10-15時点で、対象機器のパッチ適用は1つも確認されていない

「複雑だから誰も読まない」は、もう守りにならない。AIで読む速さが上がった分、古くて誰も触らない処理こそ狙い目になる。これは攻める側だけでなく、作る側の話でもある。自分のアプリでも、外から届くデータを組み立て直す箇所（長さを信じて読む処理）がいちばん危ない。

明日からの一手は1つ。バグバウンティの30分を、対象を広げずに「外からの入力を組み立てる処理を1つ選んで読む」に使う。見つからなくても、どこを読んだかを1行メモに残す。それが次の30分の地図になる。