Leaganacha dáileacháin OpenWrt eisithe 18.06.7 и 19.07.1, ina bhfuil sé ceartaithe leochaileacht CVE-2020-7982 sa bhainisteoir pacáiste opkg, a d'fhéadfaí a úsáid chun ionsaí MITM a dhéanamh agus ábhar pacáiste a íoslódáil ón stór a athsholáthar. Mar gheall ar earráid sa chód fíoraithe seiceála, d'fhéadfadh an t-ionsaitheoir neamhaird a dhéanamh ar sheiceálacha SHA-256 ón bpaicéad, rud a d'fhág go bhféadfaí meicníochtaí a sheachbhóthar chun sláine acmhainní ipk íoslódáilte a sheiceáil.
Tá an fhadhb ann ó mhí Feabhra 2017, tar éis cód a bheith curtha leis chun neamhaird a dhéanamh ar spásanna tosaigh roimh sheiceála. Mar gheall ar earráid agus spásanna á scipeáil, níor aistríodh an pointeoir go dtí an suíomh sa líne agus d’fhill an lúb díchódaithe seicheamh heicsidheachúlach SHA-256 rialú láithreach agus chuir sé seiceála fad nialasach ar ais.
Toisc gur seoladh an bainisteoir pacáiste opkg mar fhréamh, d'fhéadfadh ionsaitheoir an t-ábhar sa phacáiste ipk a athrú le linn ionsaí MITM, é a íoslódáil ón stór agus an t-úsáideoir ag feidhmiú an ordaithe "opkg install", agus socrú a dhéanamh dá chód a fhorghníomhú le fréamh chearta trí do chuid scripteanna láimhseálaí féin a chur leis an bpacáiste, ar a dtugtar le linn na suiteála. Chun leas a bhaint as an leochaileacht, ní mór don ionsaitheoir an t-innéacs pacáiste a spoof freisin (mar shampla, ó downloads.openwrt.org). Caithfidh méid an phacáiste modhnaithe a bheith ag teacht leis an gceann bunaidh ón innéacs.
Cuireann leaganacha nua deireadh le ceann amháin eile freisin leochaileacht sa leabharlann libubox, rud a d’fhéadfadh ró-shreabhadh maoláin a bheith mar thoradh air nuair a bhíonn sonraí dénártha sraitheacha nó JSON formáidithe go speisialta á bpróiseáil san fheidhm blobmsg_format_json.
Foinse: linux.org.ru