In het ontwikkelingsproject OpenWrt zijn in de ASU-toolset (Attended SysUpgrade) kritieke kwetsbaarheden (CVE-2024-54143) ontdekt, waarmee de bouwartefacten die via de service sysupgrade.openwrt.org of externe ASU-servers worden verspreid, kunnen worden gecompromitteerd, en waarmee kwaadaardige modified firmware-images op systemen van gebruikers kunnen worden geïnstalleerd. Dit gebeurt wanneer gebruikers de modus "attended upgrade" gebruiken via de webinterface selector.openwrt.org of de commandoregeltool attended.sysupgrade.
Voor een succesvolle aanval hoeft de aanvaller alleen maar een verzoek om een build naar de ASU-server te sturen (iedere gebruiker kan dergelijke verzoeken indienen zonder authenticatie). Door manipulatie van een speciaal opgestelde lijst met pakketten kan de aanvaller de verzending van eerder gegenereerde kwaadaardige images organiseren als reactie op legitieme bouwverzoeken van andere gebruikers.
De ASU-service wordt in OpenWrt gebruikt voor het genereren en installeren van firmware-updates zonder verlies van bestaande instellingen en door de gebruiker geïnstalleerde pakketten. Via de webinterface of de commandoregeltool stuurt de gebruiker een verzoek om een bijgewerkt firmware-image te genereren, waarbij de geïnstalleerde pakketten in zijn systeem worden opgegeven. Na een tijdje genereert de ASU-server een image die overeenkomt met de gevraagde inhoud, waarna de gebruiker deze kan downloaden en op zijn apparaat kan flashen. Daarnaast is er een optie beschikbaar om de bestaande instellingen in de bijgewerkte firmware te behouden.
De ASU-server is verantwoordelijk voor het verwerken van verzoeken van gebruikers, die automatische builds van firmware-images opstart met behulp van de ImageBuilder-toolset en ook een cache van eerder voorbereide builds onderhoudt. Als een gebruiker een image aanvraagt die eerder is opgebouwd en nog actueel is, levert het systeem onmiddellijk de beschikbare image uit de cache zonder het bouwproces opnieuw te starten. de server De aanvalsgedragingen werden mogelijk gemaakt door twee kwetsbaarheden:
De aanvalsgedragingen werden mogelijk gemaakt door twee kwetsbaarheden:
- Een kwetsbaarheid in de request handler build_reques.py van de Imagebuilder-toolkit maakt het mogelijk om eigen commando's in het bouwproces in te voegen door speciaal opgemaakte pakketnamen door de gebruiker te verzenden. De kwetsbaarheid ontstaat door het ontbreken van juiste controle van speciale tekens in pakketnamen voordat deze als argumenten voor de make-tool worden gebruikt. Door deze kwetsbaarheid kan een aanvaller kwaadwillige firmware-images op de server vormen, ondertekend met een geldig bouwsleut.
- Een kwetsbaarheid in de util.py-bibliotheek, veroorzaakt doordat de SHA-256-hashes, die worden gebruikt om te controleren of er al klaar firmware-images in de cache zijn, werden ingekort tot 12 tekens, wat het niveau van entropie aanzienlijk verlaagde en het mogelijk maakte om door middel van collision picking een kwaadwillig image te vormen met een hash die overeenkomt met een legitiem image. In combinatie met de kwetsbaarheid in Imagebuilder kon de hash-probleem door een aanvaller worden gebruikt om de cache van de ASU Server te 'vervuilen' en kwaadwillige images te plaatsen die aan gewone gebruikers werden verstrekt.
De wijziging die de mogelijkheid van de aanval introduceerde, werd op 8 juli doorgevoerd. Het probleem werd op 4 december opgelost. Voor het functioneren van de ASU-dienst werden aparte servers, niet overlappende met de belangrijkste buildsystemen van het project, gescheiden van de OpenWrt Buildbot en zonder toegang tot gevoelige bronnen zoals SSH-sleutels en certificaten voor het genereren van digitale handtekeningen.
Er wordt beweerd dat de ontwikkelaars van OpenWrt geen tekenen van compromittering van de projectinfrastructuur hebben gevonden, maar ter voorkoming hebben ze de systemen waarop de kwetsbare componenten draaide volledig opnieuw geïnstalleerd. Het probleem heeft de officiële images die via de website downloads.openwrt.org worden verspreid, niet beïnvloed en bij de analyse van de build-logs zijn er geen aanwijzingen gevonden voor het verzenden van kwaadwillige verzoeken. Aangezien er een automatische schoonmaak van builds ouder dan 7 dagen op de ASU-servers plaatsvindt, is een audit van oudere builds onmogelijk gebleken.
De kans dat de ontdekte kwetsbaarheden in de praktijk worden gebruikt voor het verspreiden van kwaadwillige images via de OpenWrt-infrastructuur wordt door vertegenwoordigers van OpenWrt als bijna nul ingeschat, toch wordt gebruikers van ASU aangeraden hun OpenWrt-firmware op hun apparaten te vervangen door dezelfde versie.
Bron: opennet.ru
