- OpenWrt、ASU サーバーのセキュリティ脆弱性を受けてファームウェアのアップグレードを呼びかけ
- 2 つの脆弱性により、攻撃者が不正なファームウェアイメージを配信する可能性
何が起きたか：OpenWrt のセキュリティ脆弱性
OpenWrtのユーザーは、先週報告されたセキュリティ問題を受け、ファームウェアイメージを同一バージョンにアップグレードするよう推奨されています。この脆弱性は、プロジェクトの支援付きアップグレードサーバー（ASU）で発見され、攻撃者が 2 つの欠陥を組み合わせることで悪意あるファームウェアを注入できる可能性があります。
最初の欠陥は、「openwrt/imagebuilder」イメージにおけるコマンドインジェクションのバグで、攻撃者が悪意あるパッケージ名を注入し、正当なビルドキーで署名された偽のファームウェアイメージを作成することを可能にします。第二の欠陥は、弱いハッシュの脆弱性（CVE-2024-54143）で、ビルドリクエストで使用される SHA-256 ハッシュが切り捨てられることで複雑性が低下し、ハッシュ衝突を可能にします。これらの脆弱性により、攻撃者が疑いを持たないユーザーに不正なファームウェアを配信する可能性があります。不正なイメージのリスクは低いものの、OpenWrt は潜在的な脅威を軽減するため、同一バージョンへのアップグレードを推奨しています。パブリック ASU インスタンスを運用しているユーザーは、直ちにパッチを適用することが強く求められます。
OpenWrt は、公式イメージと 24.10.0-rc2 のカスタムビルドには影響がないと保証しました。ただし、自動クリーンアップ手順により未検証となった古いビルドには依然としてリスクが残ります。OpenWrt は、OpenWrt One の発表直後にこのアドバイザリを公開しました。Software Freedom Conservancy がこの新しいハードウェアプラットフォームを開発しました。
あわせて読みたい：ファームウェアの一般的な 9 つの種類
あわせて読みたい：GitHub 脆弱性により 4,000 以上のリポジトリがリポジャッキング攻撃にさらされる
なぜ重要か
OpenWrt のアップグレードサーバー（ASU）のセキュリティ欠陥により、ユーザーが同一バージョンへファームウェアをアップグレードすることが極めて重要です。この脆弱性により、攻撃者は 2 つの問題を悪用して悪意あるファームウェアを注入する可能性があります。コマンドインジェクションのバグと弱いハッシュの脆弱性です。コマンドインジェクションにより、悪意あるパッケージ名が偽のファームウェアイメージを作成可能になります。弱いハッシュにより、攻撃者はより容易に衝突を生成し、不正なイメージを配信できます。
成功する攻撃のリスクは低いものの、OpenWrt は潜在的な脅威を排除するためにアップグレードを推奨しています。パブリック ASU インスタンスを使用するユーザーは直ちに更新する必要があります。公式イメージや最近のカスタムビルドには影響はありませんが、古いビルドにはまだリスクが残る可能性があります。この問題は、迅速な更新とシステム完全性の維持における注意の必要性を浮き彫りにしています。このアドバイザリは OpenWrt One の発表直後に発表され、ソフトウェアとハードウェアの両方のプラットフォームを保護することの重要性を強調しています。