Az OpenWrt fejleszt\u00e9si projektj\u00e9ben az ASU (Attended SysUpgrade) eszk\u00f6zk\u00e9szletben kritikus sebezhet\u0151s\u00e9geket (CVE-2024-54143) fedeztek fel, amelyek lehet\u0151v\u00e9 teszik az olyan \u00f6sszeszerel\u00e9si artefaktumok kompromitt\u00e1l\u00e1s\u00e1t, amelyeket a sysupgrade.openwrt.org szolg\u00e1ltat\u00e1son vagy harmadik f\u00e9l ASU-szervereken terjesztenek, \u00edgy a felhaszn\u00e1l\u00f3k rendszereire jogtalanul m\u00f3dos\u00edtott firmware-k\u00e9pek telep\u00edt\u00e9s\u00e9t \u00e9rhetik el, akik az \u201eattended upgrade\u201d \u00fczemm\u00f3dban friss\u00edtik a firmware-t a selector.openwrt.org webes fel\u00fcleten vagy az attended.sysupgrade parancssori eszk\u00f6z t\u00e1mogat\u00e1s\u00e1val. <\/p>\n
A t\u00e1mad\u00e1s sikeres v\u00e9grehajt\u00e1s\u00e1hoz a t\u00e1mad\u00f3nak elegend\u0151 csomag\u00e9p\u00edt\u00e9si k\u00e9r\u00e9s k\u00fcld\u00e9se az ASU szerver fel\u00e9 (az ilyen k\u00e9rd\u00e9seket b\u00e1rmely felhaszn\u00e1l\u00f3 k\u00fcldheti autentik\u00e1ci\u00f3 n\u00e9lk\u00fcl). Egy speci\u00e1lisan megform\u00e1zott csomaglista manipul\u00e1l\u00e1s\u00e1val a t\u00e1mad\u00f3 k\u00e9pes kor\u00e1bban gener\u00e1lt rosszindulat\u00fa k\u00e9pek k\u00fcld\u00e9s\u00e9re m\u00e1s felhaszn\u00e1l\u00f3k \u00e9rv\u00e9nyes \u00e9p\u00edt\u00e9si k\u00e9r\u00e9seire v\u00e1laszul. <\/p>\n
Az ASU szolg\u00e1ltat\u00e1s az OpenWrt-ban a firmware friss\u00edt\u00e9sek gener\u00e1l\u00e1s\u00e1ra \u00e9s telep\u00edt\u00e9s\u00e9re szolg\u00e1l a megl\u00e9v\u0151 be\u00e1ll\u00edt\u00e1sok \u00e9s a felhaszn\u00e1l\u00f3 \u00e1ltal telep\u00edtett csomagok elveszt\u00e9se n\u00e9lk\u00fcl. A felhaszn\u00e1l\u00f3 a webes fel\u00fcleten vagy parancssori eszk\u00f6z\u00f6n kereszt\u00fcl k\u00e9r\u00e9s\u00e9t k\u00fcldi a friss\u00edtett firmware k\u00e9p\u00e9nek gener\u00e1l\u00e1s\u00e1ra, megadva a rendszer\u00e9ben telep\u00edtett csomagokat. Egy id\u0151 ut\u00e1n az ASU szerver l\u00e9trehozza a megrendelt tartalomnak megfelel\u0151 k\u00e9pet, amelyet a felhaszn\u00e1l\u00f3 let\u00f6lthet \u00e9s telep\u00edthet az eszk\u00f6z\u00e9re. Tov\u00e1bb\u00e1 el\u00e9rhet\u0151 egy opci\u00f3, amely lehet\u0151v\u00e9 teszi a megl\u00e9v\u0151 be\u00e1ll\u00edt\u00e1sok meg\u0151rz\u00e9s\u00e9t az \u00faj firmware-ben. <\/p>\n
A felhaszn\u00e1l\u00f3kt\u00f3l \u00e9rkez\u0151 k\u00e9r\u00e9sek feldolgoz\u00e1s\u00e1\u00e9rt az ASU Server felel\u0151s, amely automatikusan gener\u00e1lja a firmware k\u00e9peket az ImageBuilder eszk\u00f6z seg\u00edts\u00e9g\u00e9vel, \u00e9s egy kor\u00e1bban elk\u00e9sz\u00edtett k\u00e9pekb\u0151l \u00e1ll\u00f3 gyors\u00edt\u00f3t\u00e1rat is fenntart. Ha a felhaszn\u00e1l\u00f3 olyan k\u00e9pet k\u00e9r, amelyet m\u00e1r kor\u00e1bban elk\u00e9sz\u00edtettek, szerveren<\/a> \u00e9s amelynek relevanci\u00e1ja megmaradt, a rendszer azonnal szolg\u00e1ltatja a gyors\u00edt\u00f3t\u00e1rban tal\u00e1lhat\u00f3 k\u00e9pet an\u00e9lk\u00fcl, hogy elind\u00edtan\u00e1 az \u00e9p\u00edt\u00e9si folyamatot. <\/p>\n A t\u00e1mad\u00e1s viselked\u00e9se k\u00e9t sebezhet\u0151s\u00e9gnek k\u00f6sz\u00f6nhet\u0151en v\u00e1lt lehet\u0151v\u00e9: <\/p>\n A t\u00e1mad\u00e1sok lehet\u0151s\u00e9g\u00e9t okoz\u00f3 v\u00e1ltoztat\u00e1sokat j\u00falius 8-\u00e1n hajtott\u00e1k v\u00e9gre. A probl\u00e9m\u00e1t december 4-\u00e9n orvosolt\u00e1k. Az ASU szolg\u00e1ltat\u00e1s m\u0171k\u00f6d\u00e9s\u00e9hez k\u00fcl\u00f6n\u00e1ll\u00f3, szerverek<\/a>, a projekt f\u0151bb \u00f6sszes\u00edt\u00e9si rendszereivel nem \u00e1tfed\u00e9sben lev\u0151, az OpenWrt Buildbot-t\u00f3l elz\u00e1rva tartott rendszereket haszn\u00e1ltak, amelyek nem rendelkeznek hozz\u00e1f\u00e9r\u00e9ssel olyan bizalmas er\u0151forr\u00e1sokhoz, mint p\u00e9ld\u00e1ul az SSH kulcsok \u00e9s a digit\u00e1lis al\u00e1\u00edr\u00e1sok kialak\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges tan\u00fas\u00edtv\u00e1nyok. <\/p>\n Az OpenWrt fejleszt\u0151i \u00e1ll\u00edtj\u00e1k, hogy nem tal\u00e1ltak nyomokat a projekt infrastrukt\u00far\u00e1j\u00e1nak kompromitt\u00e1l\u00e1s\u00e1ra, m\u00e9gis biztos\u00edt\u00e1si okokb\u00f3l az \u00f6sszes\u00edt\u00e9si folyamat sor\u00e1n haszn\u00e1lt rendszerek \u00fajratelep\u00edt\u00e9se mellett d\u00f6nt\u00f6ttek. A probl\u00e9ma nem \u00e9rintette a downloads.openwrt.org webhelyen terjesztett hivatalos k\u00e9peket, \u00e9s az \u00f6sszes\u00edt\u00e9si napl\u00f3elemz\u00e9s sor\u00e1n nem tal\u00e1ltak nyomokat rosszindulat\u00fa k\u00e9r\u00e9sek k\u00fcld\u00e9s\u00e9re. Mivel az ASU szervereken automatikus di\u00e9t\u00e1z\u00e1s t\u00f6rt\u00e9nik 7 napn\u00e1l r\u00e9gebbi \u00f6sszes\u00edt\u00e9sek eset\u00e9n, a kor\u00e1bbi \u00f6sszes\u00edt\u00e9sek audit\u00e1l\u00e1sa lehetetlenn\u00e9 v\u00e1lt. <\/p>\n\n