Megjelent az OpenWrt disztribúció javító kiadása
A probléma 2017 februárja óta jelentkezik, utána
Mivel az OpenWrt opkg csomagkezelője root jogokkal indul, MITM támadás esetén a támadó csendben módosíthatja a lerakatból letöltött ipk csomagot, miközben a felhasználó végrehajtja az „opkg install” parancsot, és megszervezheti a kódjának végrehajtása root jogokkal úgy, hogy saját kezelő szkripteket ad hozzá a csomaghoz, amelyet a telepítés során hívnak meg. A biztonsági rés kihasználásához a támadónak gondoskodnia kell egy helyes és aláírt csomagindex cseréjéről is (például a downloads.openwrt.org webhelyről). A módosított csomag méretének meg kell egyeznie az indexben meghatározott eredeti mérettel.
Olyan helyzetben, amikor a teljes firmware frissítése nélkül kell tennie, csak az opkg csomagkezelőt frissítheti a következő parancsok futtatásával:
cd / tmp
opkg frissítés
opkg letöltés opkg
zcat ./opkg-lists/openwrt_base | grep -A10 "Csomag: opkg" | grep SHA256sum
sha256sum ./opkg_2020-01-25-c09fe209-1_*.ipk
Ezután hasonlítsa össze a megjelenített ellenőrző összegeket, és ha egyezik, hajtsa végre:
opkg install ./opkg_2020-01-25-c09fe209-1_*.ipk
Az új verziók is megszüntetnek még egyet
$ubus call luci getFeatures\
'{ "banik": 00192200197600198000198100200400.1922 }'
A sebezhetőségek kiküszöbölése és a felhalmozódott hibák kijavítása mellett az OpenWrt 19.07.1 kiadás frissítette a Linux kernel verzióját is (4.14.162-ről 4.14.167-re), megoldotta az 5 GHz-es frekvenciák használatakor felmerülő teljesítményproblémákat, és javította az Ubiquiti Rocket M támogatását. Titanium, Netgear WN2500RP v1 eszközök,
Zyxel NSA325, Netgear WNR3500 V2, Archer C6 v2, Ubiquiti EdgeRouter-X, Archer C20 v4, Archer C50 v4 Archer MR200, TL-WA801ND v5, HiWiFi HC5962, Xiaomi Mi Netgear R3 Pro és.
Forrás: opennet.ru