Ninu eto Kọ Buildroot, ti a pinnu lati ṣiṣẹda awọn agbegbe Linux bootable fun awọn eto ifibọ, awọn ailagbara mẹfa ti jẹ idanimọ ti o gba laaye, lakoko ikọlu ti ijabọ irekọja (MITM), lati ṣe awọn ayipada si awọn aworan eto ti ipilẹṣẹ tabi ṣeto ipaniyan koodu ni eto kikọ. ipele. A ti koju awọn ailagbara naa ni awọn idasilẹ Buildroot 2023.02.8, 2023.08.4, ati 2023.11.
Awọn ailagbara marun akọkọ (CVE-2023-45841, CVE-2023-45842, CVE-2023-45838, CVE-2023-45839, CVE-2023-45840) ni ipa lori koodu fun ṣayẹwo iduroṣinṣin ti awọn apo-iwe nipa lilo awọn hashes. Awọn iṣoro naa ṣan silẹ si agbara lati lo HTTP lati ṣe igbasilẹ awọn faili ati aini awọn faili hash ijẹrisi fun diẹ ninu awọn idii, eyiti o jẹ ki o ṣee ṣe lati rọpo awọn akoonu ti awọn idii wọnyi, ni aye lati gbe sinu ijabọ ti olupin apejọ (fun fun apẹẹrẹ, nigbati olumulo kan ba sopọ nipasẹ nẹtiwọki alailowaya ti a ṣakoso nipasẹ ikọlu).
Ni pataki, awọn aufs ati awọn idii aufs-util ni a kojọpọ lori HTTP ati pe wọn ko ṣayẹwo lodi si awọn hashes. Hashes tun sonu fun riscv64-elf-toolchain, versal-firmware ati awọn idii mxsldr, eyiti o kojọpọ lori HTTPS nipasẹ aiyipada, ṣugbọn o ṣubu pada si awọn igbasilẹ ti a ko paro lati http://sources.buildroot.net ninu ọran awọn iṣoro. Ti ko ba si awọn faili .hash, ọpa Buildroot ṣe ayẹwo ayẹwo ni aṣeyọri ati ṣiṣe awọn idii ti a gba lati ayelujara, pẹlu lilo awọn abulẹ ti o wa ninu awọn idii ati ṣiṣe awọn iwe afọwọkọ kọ. Nini agbara lati spoof awọn idii ti o gbasilẹ, ikọlu le ṣafikun awọn abulẹ tirẹ tabi Makefiles si wọn, eyiti o jẹ ki o ṣee ṣe lati ṣe awọn ayipada si aworan ti o yọrisi tabi kọ awọn iwe afọwọkọ eto ati ṣaṣeyọri ipaniyan koodu rẹ.
Ailagbara kẹfa (CVE-2023-43608) jẹ idi nipasẹ aṣiṣe ninu imuse iṣẹ ṣiṣe BR_NO_CHECK_HASH_FOR, eyiti o fun ọ laaye lati mu awọn sọwedowo iduroṣinṣin hash fun awọn apo-iwe ti o yan. Diẹ ninu awọn idii, gẹgẹbi ekuro Linux, U-Boot, ati versal-famuwia, gba laaye ikojọpọ awọn ẹya tuntun ti eyiti awọn hashes ijẹrisi ko ti ṣe ipilẹṣẹ. Fun awọn ẹya wọnyi, aṣayan BR_NO_CHECK_HASH_FOR ni a lo, eyiti ko ṣe ayẹwo hash. A ṣe igbasilẹ data naa lori HTTPS, ṣugbọn nipasẹ aiyipada, ti igbasilẹ naa ba kuna, apadabọ si iraye si source.buildroot.net laisi fifi ẹnọ kọ nkan nipa lilo ilana http:// ti lo. Lakoko ikọlu MITM kan, ikọlu le di asopọ si olupin HTTPS lẹhinna igbasilẹ naa yoo yiyi pada si http://sources.buildroot.net.
orisun: opennet.ru