Az OpenWrt fejlesztés alatt álló ASU (Attended SysUpgrade) eszközkészletében kritikus sebezhetőségeket (CVE-2024-54143) fedeztek fel, amelyek lehetővé teszik a sysupgrade.openwrt.org vagy harmadik fél ASU szerverei által terjesztett építési artefaktumok kompromittálását, és megszerzett képek telepítését a felhasználók rendszereire, akik az "attended upgrade" üzemmódban frissítik a firmware-jüket a selector.openwrt.org webes felületen vagy az attended.sysupgrade parancssori eszközön keresztül.
A támadás sikeres végrehajtásához a támadónak elegendő csomagépítési kérés küldése az ASU szerver felé (az ilyen kérdéseket bármely felhasználó küldheti autentikáció nélkül). Egy speciálisan megformázott csomaglista manipulálásával a támadó képes korábban generált rosszindulatú képek küldésére más felhasználók érvényes építési kéréseire válaszul.
Az ASU szolgáltatás az OpenWrt-ban a firmware frissítések generálására és telepítésére szolgál a meglévő beállítások és a felhasználó által telepített csomagok elvesztése nélkül. A felhasználó a webes felületen vagy parancssori eszközön keresztül kérését küldi a frissített firmware képének generálására, megadva a rendszerében telepített csomagokat. Egy idő után az ASU szerver létrehozza a megrendelt tartalomnak megfelelő képet, amelyet a felhasználó letölthet és telepíthet az eszközére. Továbbá elérhető egy opció, amely lehetővé teszi a meglévő beállítások megőrzését az új firmware-ben.
A felhasználóktól érkező kérések feldolgozásáért az ASU Server felelős, amely automatikusan generálja a firmware képeket az ImageBuilder eszköz segítségével, és egy korábban elkészített képekből álló gyorsítótárat is fenntart. Ha a felhasználó olyan képet kér, amelyet már korábban elkészítettek, szerveren és amelynek relevanciája megmaradt, a rendszer azonnal szolgáltatja a gyorsítótárban található képet anélkül, hogy elindítaná az építési folyamatot.
A támadás viselkedése két sebezhetőségnek köszönhetően vált lehetővé:
- Az Imagebuilder eszközkészlet build_reques.py kéréskezelőjében felfedezett sebezhetőséget kihasználva támadók saját parancsaikat helyezhetik be az összesítési folyamatba, ha a felhasználó különlegesen megformázott csomagnévvel adja meg azokat. A sebezhetőség oka a speciális karakterek megfelelő ellenőrzésének hiánya a csomagnevekben, mielőtt azokat a make utility argumentumaiként felhasználnák. Ennek a sebezhetőségnek a kihasználásával a támadó rosszindulatú firmware képeket képezhet a szerveren, amelyek helyes összesítő kulccsal vannak aláírva.
- A util.py könyvtárban felfedezett sebezhetőséget az okozta, hogy a már elkészült firmware képek gyorsítótárának ellenőrzésére használt SHA-256 hash-ek 12 karakterre lettek levágva, ami jelentősen csökkentette az entrópiát, és lehetővé tette, hogy a hash ütközések kitalálásával rosszindulatú képet hozzanak létre, amelynek a hash-e megegyezik egy legitim kép hash-ével. Az Imagebuilder sebezhetőségével kombinálva a hash problémák a támadó számára lehetőséget adtak a ASU Server gyorsítótárának "szennyezésére" és rosszindulatú képek elhelyezésére benne, amelyeket a normál felhasználók kérésére adtak át.
A támadások lehetőségét okozó változtatásokat július 8-án hajtották végre. A problémát december 4-én orvosolták. Az ASU szolgáltatás működéséhez különálló, szerverek, a projekt főbb összesítési rendszereivel nem átfedésben levő, az OpenWrt Buildbot-tól elzárva tartott rendszereket használtak, amelyek nem rendelkeznek hozzáféréssel olyan bizalmas erőforrásokhoz, mint például az SSH kulcsok és a digitális aláírások kialakításához szükséges tanúsítványok.
Az OpenWrt fejlesztői állítják, hogy nem találtak nyomokat a projekt infrastruktúrájának kompromittálására, mégis biztosítási okokból az összesítési folyamat során használt rendszerek újratelepítése mellett döntöttek. A probléma nem érintette a downloads.openwrt.org webhelyen terjesztett hivatalos képeket, és az összesítési naplóelemzés során nem találtak nyomokat rosszindulatú kérések küldésére. Mivel az ASU szervereken automatikus diétázás történik 7 napnál régebbi összesítések esetén, a korábbi összesítések auditálása lehetetlenné vált.
Az OpenWrt képviselői szerint a felfedezett sebezhetőségek gyakorlati kihasználásának valószínűsége, hogy rosszindulatú képek terjesztésére használják az OpenWrt infrastruktúráján keresztül, közel nullához közelít, azonban az ASU felhasználóknak ajánlott, hogy eszközeiken cseréljék le az OpenWrt firmware-t ugyanarra a verzióra.
Forrás: opennet.ru
