I det udviklede projekt OpenWrt værktøjer ASU (Attended SysUpgrade) er der opdaget kritiske sårbarheder (CVE-2024-54143), der gør det muligt at kompromittere de samlede artefakter, der distribueres gennem tjenesten sysupgrade.openwrt.org eller tredjeparts ASU-servere, og dermed installere modificerede firmwarebilleder af angriberen på systemer hos brugere, der bruger "attended upgrade"-tilstanden gennem webgrænsefladen selector.openwrt.org eller kommandolinjeværktøjet attended.sysupgrade.
For at gennemføre et angreb er det tilstrækkeligt for angriberen at sende en anmodning om at danne en samling til ASU-serveren (sådanne anmodninger kan enhver bruger sende uden at gennemgå autentifikation). Gennem manipulation af en særligt tilrettelagt pakkeliste kan angriberen organisere udsendelsen af tidligere genererede ondsindede billeder som svar på legitime samlingsanmodninger fra andre brugere.
ASU-servicen anvendes i OpenWrt til at danne og installere firmwareopdateringer uden at miste de eksisterende indstillinger og brugerinstallerede pakker. Gennem webgrænsefladen eller kommandolinjeværktøjet sender brugeren en anmodning om at danne et opdateret firmwarebillede ved at angive de pakker, der er installeret på deres system. Efter et stykke tid danner ASU-serveren et billede, der svarer til den bestilte indhold, hvorefter brugeren downloader det og opdaterer det på deres enhed. Der tilbydes desuden en mulighed for at bevare de eksisterende indstillinger i den opdaterede firmware.
ASU Serveren håndterer anmodninger fra brugerne og starter en automatisk samling af firmwarebilleder ved hjælp af værktøjet ImageBuilder og opretholder også en cache af tidligere forberedte samlinger. Hvis brugeren anmoder om et billede, der tidligere er blevet samlet, og som stadig er aktuelt, giver systemet straks det eksisterende billede fra cachen uden at starte samlingsprocessen. serveren og bevarer relevansen, systemet giver straks det eksisterende billede fra cachen uden at starte samlingsprocessen.
Angrebsadfærden blev muliggjort af to sårbarheder:
- Sårbarheden i request handler build_reques.py fra Imagebuilder-værktøjet giver mulighed for at indsætte egne kommandoer i build-processen ved at overføre særligt formaterede pakkernavne fra brugeren. Sårbarheden skyldes manglende korrekt kontrol af specialtegn i pakkernes navne, før de anvendes som argumenter i make-kommandoen. Ved at udnytte denne sårbarhed kan en angriber skabe ondsindede firmwarebilleder på serveren, der er underskrevet med en korrekt build-nøgle.
- Sårbarheden i util.py-biblioteket opstod, fordi SHA-256-hasher, der bruges til at kontrollere, om der findes færdige firmwarebilleder i cachen, blev beskåret til 12 tegn, hvilket betydeligt reducerede entropiniveauet og gjorde det muligt at generere ondsindede billeder, hvis hash stemte overens med et legitimt billede ved hjælp af kollisioner. I kombination med sårbarheden i Imagebuilder kunne problemet med hasherne udnyttes af en angriber til at "forurene" cachen på ASU-serveren og placere ondsindede billeder der, som blev udleveret på anmodning fra almindelige brugere.
Ændringen, der muliggør angrebet, blev indført den 8. juli. Problemet blev løst den 4. december. For at sikre driften af ASU-tjenesten blev der brugt separate servere, der ikke overlapper med hovedbyggerne i projektet, adskilt fra OpenWrt Buildbot og uden adgang til fortrolige ressourcer som SSH-nøgler og certifikater til oprettelse af digitale signaturer.
Det hævdes, at OpenWrt-udviklerne ikke fandt tegn på kompromittering af projektets infrastruktur, men for at være på den sikre side blev systemerne, hvor de sårbare komponenter kørte, geninstalleret fra bunden. Problemet påvirkede ikke de officielle billeder, der distribueres via downloads.openwrt.org, og ved analysen af build-loggerne blev der ikke fundet spor af ondsindede anmodninger. Da ASU-serverne udfører automatisk oprydning af builds over 7 dage gamle, viste det sig umuligt at revidere gamle builds.
Sandynligheden for, at de identificerede sårbarheder rent faktisk vil blive udnyttet til at sprede skadelige billeder gennem OpenWrt-infrastrukturen vurderes af repræsentanter for OpenWrt som tæt på nul, men ASU-brugere anbefales at opdatere deres OpenWrt-firmware til den samme version på deres enheder.
Kilde: opennet.ru
