No sistema de construção Buildroot, destinado a formar ambientes Linux de inicialização para sistemas embarcados, foram identificadas seis vulnerabilidades que permitem, durante a interceptação de tráfego em trânsito (MITM), fazer alterações nas imagens de sistema geradas ou executar código no nível do sistema de construção. As vulnerabilidades foram corrigidas nas versões Buildroot 2023.02.8, 2023.08.4 e 2023.11.
As primeiras cinco vulnerabilidades (CVE-2023-45841, CVE-2023-45842, CVE-2023-45838, CVE-2023-45839, CVE-2023-45840) afetam o código de verificação de integridade dos pacotes por hashes. Os problemas estão relacionados à possibilidade de usar HTTP para baixar arquivos e à ausência de arquivos hash de verificação para alguns pacotes, o que permite modificar o conteúdo desses pacotes ao interceptar o tráfego da construção. servidor (por exemplo, ao conectar o usuário a uma rede sem fio controlada pelo atacante).
Em particular, os pacotes aufs e aufs-util foram baixados via HTTP e não foram verificados por hashes. Os hashes também estavam ausentes para os pacotes riscv64-elf-toolchain, versal-firmware e mxsldr, que eram baixados por padrão via HTTPS, mas, em caso de problemas, revertidos para download sem criptografia do host http://sources.buildroot.net. Na ausência de arquivos '.hash', a ferramenta Buildroot considerava a verificação bem-sucedida e processava os pacotes baixados, incluindo a aplicação de patches incluídos nos pacotes e a execução de scripts de construção. Com a possibilidade de alterar os pacotes baixados, um atacante poderia adicionar seus próprios patches ou arquivos Makefiles, permitindo modificar a imagem resultante ou os scripts do sistema de construção e conseguir a execução do seu código.
A sexta vulnerabilidade (CVE-2023-43608) é causada por um erro na implementação da funcionalidade BR_NO_CHECK_HASH_FOR, que permite desativar a verificação de integridade por hashes para pacotes selecionados. Alguns pacotes, como o núcleo Linux, U-Boot e versal-firmware, permitiam a descarga das últimas versões, para as quais ainda não foram gerados hashes de verificação. Para essas versões, a opção BR_NO_CHECK_HASH_FOR era aplicada, desativando a verificação por hash. Os dados eram baixados via HTTPS, mas, por padrão, em caso de falha no download, era feita uma reversão para acesso ao source.buildroot.net sem criptografia pelo protocolo http://. O atacante, durante um ataque MITM, poderia bloquear a conexão com o servidor HTTPS e, assim, o download revertia para http://sources.buildroot.net.
Fonte: opennet.ru
