OpenWrt ruft Benutzer zum Update nach Sicherheitslücken auf

OpenWrt urges users to upgrade after security flaws found wird von BTW Media profiliert, da veröffentlichte Beweise es mit Internetinfrastruktur, Governance, Betriebsabhängigkeiten oder Marktsichtbarkeit verbinden.

• OpenWrt ruft Benutzer dazu auf, die Firmware nach Sicherheitslücken im ASU-Server zu aktualisieren.
• Zwei Schwachstellen könnten Angreifern ermöglichen, kompromittierte Firmware-Images auszuliefern.

Was geschah: Sicherheitslücken in OpenWrt

OpenWrt-Benutzer werden aufgefordert, ihre Firmware-Images auf die gleiche Version zu aktualisieren, nachdem letzte Woche ein Sicherheitsproblem gemeldet wurde. Die Schwachstelle, die im Attended Sysupgrade Server des Projekts (ASU) entdeckt wurde, könnte Angreifern potenziell ermöglichen, schädliche Firmware einzuschleusen, indem zwei Fehler kombiniert werden.

Der erste Fehler, ein Befehlsinjektionsfehler im Image 'openwrt/imagebuilder', erlaubt Angreifern, schädliche Paketnamen einzuschleusen, wodurch gefälschte Firmware-Images erstellt werden, die mit einem legitimen Build-Schlüssel signiert sind. Der zweite Fehler, eine Schwachstelle durch schwachen Hash (CVE-2024-54143), tritt auf, weil der in der Build-Anfrage verwendete SHA-256-Hash abgeschnitten ist, was seine Komplexität reduziert und Hash-Kollisionen ermöglicht. Diese Schwachstellen könnten es Angreifern ermöglichen, kompromittierte Firmware an ahnungslose Benutzer auszuliefern.

Obwohl das Risiko kompromittierter Images gering ist, empfiehlt OpenWrt Benutzern, auf die gleiche Version zu aktualisieren, um potenzielle Bedrohungen zu mindern. Benutzer, die öffentliche ASU-Instanzen hosten, werden dringend gebeten, die Patches sofort anzuwenden.

OpenWrt hat Benutzern versichert, dass die offiziellen Images und benutzerdefinierten Builds von 24.10.0-rc2 nicht betroffen sind. Allerdings können ältere, nicht überprüfte Builds aufgrund der automatischen Bereinigungsverfahren weiterhin ein Risiko darstellen. OpenWrt veröffentlichte den Hinweis kurz nach der Ankündigung des OpenWrt One. Das Software Freedom Conservancy hat diese neue Hardware-Plattform entwickelt.

Lesen Sie auch:9 gängige Arten von Firmware
Lesen Sie auch:GitHub-Sicherheitslücke setzt über 4.000 Repositorien einem RepoJacking-Angriff aus

Warum das wichtig ist

Die Sicherheitslücke im OpenWrt-Upgrade-Server (ASU) macht es für Benutzer entscheidend, ihre Firmware auf die gleiche Version zu aktualisieren. Die Schwachstelle könnte es Angreifern ermöglichen, schädliche Firmware einzuschleusen, indem zwei Probleme ausgenutzt werden: ein Befehlsinjektionsfehler und eine Schwachstelle durch schwachen Hash. Die Befehlsinjektion ermöglicht es, mit schädlichen Paketnamen gefälschte Firmware-Images zu erstellen. Der schwache Hash erleichtert es Angreifern, Kollisionen zu erzeugen und kompromittierte Images auszuliefern.

Obwohl das Risiko eines erfolgreichen Angriffs gering ist, empfiehlt OpenWrt das Update, um jede potenzielle Bedrohung zu beseitigen. Benutzer mit öffentlichen ASU-Instanzen sollten sofort aktualisieren. Die offiziellen Images und aktuellen benutzerdefinierten Builds bleiben nicht betroffen, aber ältere Builds könnten weiterhin gefährdet sein. Dieses Problem unterstreicht die Notwendigkeit schneller Updates und Wachsamkeit bei der Aufrechterhaltung der Systemintegrität. Der Hinweis erfolgt kurz nach der Ankündigung des OpenWrt One und betont die Bedeutung der Sicherheit sowohl für Software- als auch für Hardware-Plattformen.