Vulnérabilités permettant de remplacer des images et d'exécuter du code sur les serveurs ASU du projet OpenWrt

Dans le projet en développement OpenWrt, des vulnérabilités critiques (CVE-2024-54143) ont été identifiées dans l'outil ASU (Attended SysUpgrade), permettant de compromettre les artefacts de compilation diffusés via le service sysupgrade.openwrt.org ou des serveurs ASU tiers, et d'installer des images de firmware modifiées par un attaquant sur les systèmes des utilisateurs utilisant le mode « attented upgrade » via l'interface web selector.openwrt.org ou l'outil de ligne de commande attended.sysupgrade.

Pour réussir l'attaque, il suffit à l'attaquant d'envoyer une requête de compilation au serveur ASU (de telles requêtes peuvent être envoyées par n'importe quel utilisateur sans authentification). Par des manipulations avec une liste de paquets spécialement conçue, l'attaquant peut organiser l'envoi d'images malveillantes précédemment générées en réponse aux requêtes de compilation légitimes d'autres utilisateurs.

Le service ASU est utilisé dans OpenWrt pour générer et installer des mises à jour de firmware sans perdre les configurations existantes et les paquets installés par l'utilisateur. Via l'interface web ou l'outil de ligne de commande, l'utilisateur envoie une demande de génération d'une image de firmware mise à jour, en spécifiant les paquets installés sur son système. Après un certain temps, le serveur ASU crée une image correspondant au contenu commandé, après quoi l'utilisateur télécharge celle-ci et la flashe sur son appareil. Une option supplémentaire permet de conserver les réglages existants dans le firmware mis à jour.

Le traitement des demandes des utilisateurs est assuré par le serveur ASU, qui lance une compilation automatique des images de firmware à l'aide de l'outil ImageBuilder, tout en maintenant un cache d'assemblages précédemment préparés. Si l'utilisateur demande une image qui a déjà été compilée et qui est toujours d'actualité, le système renvoie immédiatement l'image disponible dans le cache sans lancer le processus de compilation. le serveur et conserve sa pertinence, le système rend immédiatement l'image disponible depuis le cache sans initier le processus de compilation.

Le comportement de l'attaque est devenu possible grâce à deux vulnérabilités :

• Une vulnérabilité dans le gestionnaire de requêtes build_reques.py de l'outil Imagebuilder permet d'injecter ses propres commandes dans le processus de construction en transmettant des noms de paquets spécialement formatés par l'utilisateur. Cette vulnérabilité est causée par l'absence de vérification adéquate des caractères spéciaux dans les noms de paquets avant de les utiliser comme arguments de l'outil make. En exploitant cette vulnérabilité, un attaquant peut créer sur le serveur des images de firmware malveillantes, signées avec une clé de construction valide.
• Une vulnérabilité dans la bibliothèque util.py, causée par le fait que les hachages SHA-256 utilisés pour vérifier la présence dans le cache des images de firmware déjà prêtes, étaient tronqués à 12 caractères, ce qui réduisait considérablement le niveau d'entropie et permettait de créer une image malveillante dont le hachage correspond à une image légitime par collision. Combinée avec la vulnérabilité dans Imagebuilder, le problème des hachages pouvait être exploité par un attaquant pour « contaminer » le cache du serveur ASU et y placer des images malveillantes, renvoyées aux demandes des utilisateurs ordinaires.

Le changement, après lequel une attaque est devenue possible, a été effectué le 8 juillet. Le problème a été résolu le 4 décembre. Pour assurer le fonctionnement du service ASU, des systèmes distincts ont été utilisés serveurs, qui ne se chevauchent pas avec les principaux systèmes de construction du projet, séparés d'OpenWrt Buildbot et n'ayant pas accès à des ressources sensibles telles que les clés SSH et les certificats pour former des signatures numériques.

Il est affirmé que les développeurs d'OpenWrt n'ont trouvé aucune trace de compromission de l'infrastructure du projet, mais pour des raisons de sécurité, ils ont réinstallé complètement les systèmes sur lesquels fonctionnaient les composants vulnérables. Le problème n'a pas affecté les images officielles distribuées via le site downloads.openwrt.org, et lors de l'analyse des journaux de compilation, aucune trace de requêtes malveillantes n'a été trouvée. De plus, comme un nettoyage automatique des constructions datant de plus de 7 jours est effectué sur les serveurs ASU, il a été impossible d'auditer les anciennes constructions.

La probabilité d'utiliser les vulnérabilités identifiées dans la pratique pour distribuer des images malveillantes via l'infrastructure OpenWrt est évaluée par les représentants d'OpenWrt comme proche de zéro; néanmoins, il est recommandé aux utilisateurs d'ASU de remplacer les firmwares OpenWrt sur leurs appareils par la même version.

Source : opennet.ru