OpenWrt projekta izstrādātajā ASU (Attended SysUpgrade) rīkkopā ir identificētas kritiskas ievainojamības (CVE-2024-54143). Šīs ievainojamības ļauj apdraudēt būvējuma artefaktus, kas tiek izplatīti, izmantojot sysupgrade.openwrt.org pakalpojumu vai trešo pušu ASU serverus, un instalēt uzbrucēja modificētus programmaparatūras attēlus lietotāju sistēmās, kuri programmaparatūras atjaunināšanai izmanto "attended upgrade" režīmu, izmantojot selector.openwrt.org tīmekļa saskarni vai attended.sysupgrade komandrindas rīkkopu.
Lai veiksmīgi veiktu uzbrukumu, uzbrucējs vienkārši nosūta ASU serverim izveides pieprasījumu (jebkurš lietotājs var nosūtīt šādus pieprasījumus bez autentifikācijas). Manipulējot ar speciāli izveidotu pakotņu sarakstu, uzbrucējs var nosūtīt iepriekš ģenerētus ļaunprātīgus attēlus, atbildot uz likumīgiem citu lietotāju izveides pieprasījumiem.
ASU pakalpojums tiek izmantots OpenWrt, lai ģenerētu un instalētu programmaparatūras atjauninājumus, nezaudējot esošos iestatījumus un lietotāja instalētās pakotnes. Izmantojot tīmekļa saskarni vai komandrindas rīku, lietotājs iesniedz pieprasījumu ģenerēt atjauninātu programmaparatūras attēlu, norādot savā sistēmā instalētās pakotnes. Pēc kāda laika ASU serveris ģenerē attēlu, kas atbilst pieprasītajam saturam, pēc kura lietotājs to lejupielādē un pārkopē savā ierīcē. Ir pieejama papildu opcija, lai saglabātu esošos iestatījumus atjauninātajā programmaparatūrā.
ASU serveris ir atbildīgs par lietotāju pieprasījumu apstrādi, automātisku programmaparatūras attēlu veidošanu, izmantojot ImageBuilder rīkus, un iepriekš sagatavoto veidojumu kešatmiņas uzturēšanu. Ja lietotājs pieprasa attēlu, kas jau ir izveidots, serveris un paliek aktuāls, sistēma nekavējoties atgriež esošo attēlu no kešatmiņas, neuzsākot veidošanas procesu.
Uzbrukuma darbību padarīja iespējamu divas ievainojamības:
- Imagebuilder rīkkopa pieprasījumu apstrādātāja build_reques.py ievainojamība ļauj komandu aizstāšanu būvēšanas procesā, nododot speciāli izveidotus pakotņu nosaukumus. Ievainojamību izraisa speciālo rakstzīmju pareizas validācijas trūkums pakotņu nosaukumos pirms to izmantošanas kā argumenti make utilītai. Izmantojot šo ievainojamību, uzbrucējs var serverī izveidot ļaunprātīgus programmaparatūras attēlus, kas parakstīti ar pareizo būvēšanas atslēgu.
- Util.py bibliotēkas ievainojamība, ko izraisīja SHA-256 heši, ko izmantoja esošo programmaparatūras attēlu pārbaudei kešatmiņā, tika saīsināti līdz 12 rakstzīmēm, ievērojami samazinot entropiju un ļaujot izveidot ļaunprātīgu attēlu, izmantojot brutālas spēka sadursmes, kuru hešs atbilst likumīgajam attēlam. Apvienojumā ar Imagebuilder ievainojamību uzbrucējs varētu izmantot šo heša problēmu, lai piesārņotu ASU servera kešatmiņu un ievietotu tajā ļaunprātīgus attēlus, kas tiktu atgriezti, atbildot uz parasto lietotāju pieprasījumiem.
Izmaiņas, kas ļāva notikt uzbrukumam, tika veiktas 8. jūlijā. Problēma tika novērsta 4. decembrī. ASU pakalpojuma darbības nodrošināšanai tika izmantoti atsevišķi drošības pasākumi. serveri, kas nekrustojas ar projekta galvenajām būvēšanas sistēmām, ir atdalītas no OpenWrt Buildbot un tām nav piekļuves konfidenciāliem resursiem, piemēram, SSH atslēgām un sertifikātiem digitālo parakstu ģenerēšanai.
Tiek ziņots, ka OpenWrt izstrādātāji neatrada pierādījumus par kompromitēšanu projekta infrastruktūrā, taču piesardzības nolūkos viņi no jauna pārinstalēja sistēmas, kurās darbojas ievainojamie komponenti. Problēma neietekmēja oficiālos attēlus, kas tika izplatīti, izmantojot downloads.openwrt.org, un būvēšanas žurnālu analīze neatrada pierādījumus par ļaunprātīgiem pieprasījumiem. Tomēr, tā kā ASU serveri automātiski izdzēš būvējumus, kas vecāki par septiņām dienām, vecāku būvējumu audits nebija iespējams.
OpenWrt pārstāvji lēš, ka iespējamība, ka praksē tiks izmantotas identificētās ievainojamības, lai izplatītu ļaunprātīgus attēlus, izmantojot OpenWrt infrastruktūru, ir tuvu nullei. Tomēr ASU lietotājiem ieteicams atjaunināt savu OpenWrt programmaparatūru uz to pašu versiju.
Avots: opennet.ru
