11 декабря 2024 года тестировщики информационной платформы IT Home technology сообщили о существенной уязвимости в службе обновления прошивки OpenWrt. Дефект, идентифицированный как CVE-2024-54143, позволяет злоумышленникам подменять образы прошивок и рассылать пользователям вредоносные обновления.
Уязвимость была обнаружена во время планового обновления прошивки маршрутизатора. Дефект, получивший оценку CVSS 9.3, кроется в сервисе Attended Sysupgrade (ASU) в OpenWrt, который позволяет пользователям настраивать прошивку в соответствии с их собственными предпочтениями.
Злоумышленники могут вводить вредоносные команды в процессе создания образа, что позволяет им внедрять вредоносный код в подписанную прошивку. Кроме того, сокращение хэша SHA-256 всего до 12 символов значительно снижает его безопасность, облегчая злоумышленникам создание хэш-коллизий и замену легитимных прошивок их вредоносными аналогами.
Согласно отчету, уязвимость не требует аутентификации и затрагивает широкий спектр устройств OpenWrt, использующих онлайн-обновление прошивки, сервис firmware-selector.openwrt.org или интерфейс командной строки attended.sysupgrade. Злоумышленники могут обойти проверку целостности, скрытно модифицировать прошивку или внедрить вредоносные команды в процессе сборки, в итоге получив контроль над устройством пользователя.
Команда OpenWrt выпустила патч для устранения уязвимости и настоятельно рекомендует пользователям как можно скорее обновить свои системы, чтобы обеспечить безопасность своих устройств.
