OpenWrt系统漏洞被修复：黑客可绕过安全检查，远程操控路由器!

网络安全警报：路由器漏洞修复带来新风险，黑客或可远程控制设备!

科技快讯中文网

　　 12月11日消息，OpenWrt在12月6日发布了一则安全公告，指出attended.sysupgrade服务存在一个严重的漏洞（CVE-2024-54143）。攻击者可能利用此漏洞篡改固件镜像，进而向用户传播恶意固件。

　　 安全研究员Ryota K在对家庭实验室的路由器进行升级时，意外发现OpenWrt更新服务存在严重漏洞，该漏洞的CVSS评分为9.3，编号为CVE-2024-54143。这一高危漏洞不仅影响了个人用户的网络安全，也警示了开源软件在安全性方面的潜在风险。 从这次事件中可以看出，尽管OpenWrt作为一款广受欢迎的开源路由器操作系统，提供了强大的功能和灵活性，但在安全性方面仍需不断加强。对于普通用户而言，这样的高危漏洞意味着其网络设备可能面临被恶意攻击的风险。因此，及时更新系统版本、密切关注官方的安全公告以及采取必要的防护措施显得尤为重要。 同时，这也提醒了开源社区和软件开发者，需要更加重视代码审查和安全测试环节，确保提供的每一个版本都经过严格的安全检测。只有这样，才能有效减少此类高危漏洞的发生，保护广大用户的信息安全。

　　 该漏洞主要存在于 OpenWrt 的按需镜像服务器 ASU（Attended Sysupgrade）中，该服务支持用户根据自身需求定制固件。

　　 公告称该漏洞无需身份验证即可利用，影响范围广泛，波及使用在线固件升级、firmware-selector.openwrt.org 或 attended.sysupgrade CLI 升级的 OpenWrt 设备。

　　 攻击者能够通过这一漏洞规避完整性检查，从而在用户毫不知情的情况下篡改固件，甚至在固件构建期间插入恶意指令，进而掌控用户的设备。 这种安全漏洞的存在揭示了当前技术产品在设计和防护上的不足。制造商必须加强对固件更新的安全性验证，确保每一个环节都经过严格的安全审查。同时，用户也应提高警惕，定期检查设备的安全状态，并及时安装官方发布的安全补丁。只有这样，才能有效防范此类攻击，保护个人隐私和财产安全不受侵害。

　　 援引公告内容，该漏洞的产生，源于两个主要问题：

　　 在Imagebuilder中发生的命令注入攻击：攻击者可能在构建镜像的过程中，通过提交含有恶意命令的软件包列表，将任意命令插入到构建流程中。这将导致即便使用合法密钥进行签名，最终生成的固件镜像也可能被植入恶意代码。

　　 SHA-256哈希碰撞截断：attended.sysupgrade服务的请求哈希机制将SHA-256哈希值截断为仅12个字符。这种做法显著削弱了哈希的安全性，使得攻击者可以轻松制造哈希碰撞。攻击者可以提前制作恶意镜像，并通过哈希碰撞的方式，用恶意镜像替换合法镜像，进而污染软件制品缓存，最终将恶意固件推送给用户。 这种设计无疑存在严重的安全隐患，尤其是在网络安全日益受到重视的今天。尽管缩短哈希长度可能带来一些性能上的提升，但其带来的安全风险显然是无法接受的。对于任何涉及固件更新的服务来说，安全性始终应当被放在首位。因此，相关开发团队需要重新评估这一设计，考虑采用更长的哈希长度或采用其他更为安全的技术手段，以确保用户设备的安全性。此外，用户也应提高警惕，对系统升级保持审慎态度，确保从可信源获取软件和固件更新。

　　 OpenWrt团队指出，目前没有迹象显示downloads.openwrt.org提供的镜像受到了影响。然而，由于存在一定的可见性限制，团队建议用户应安装最新生成的镜像，以替换那些可能带有风险的固件版本。

　　 OpenWrt官方已发布补丁来修复这一漏洞，强烈建议用户及时升级系统，确保设备的安全性。