Eine "kritische" Sicherheitslücke im SysUpgrade-Server von OpenWrt gefährdete die Integrität von manchen Firmwareimages. Ein Sicherheitsforscher stieß auf Schwachstellen im Buildprozess. Nun haben die OpenWrt-Entwickler die Lücke geschlossen.
Anzeige
OpenWrt ist eine alternative Firmware auf Linuxbasis für unter anderem bestimmte Routermodelle. In einer Warnmeldung schreiben die Entwickler, dass ein Sicherheitsforscher von Flat Security auf die Schwachstelle (CVE-2024-54143) gestoßen ist. Der Fehler findet sich im SysUpgrade-Feature. Darüber können Nutzer mit vergleichsweise wenig Aufwand und in überschaubarer Zeit neue Firmwareimages erstellen, die vorab installierte Pakete und Einstellungen übernehmen.
Der Sicherheitsforscher gibt in einem Bericht an, dass der sysupgrade.openwrt.org-Service in einer Containerumgebung läuft. Aufgrund von unzureichenden Überprüfungen können Angreifer an dieser Stelle über das "make"-Kommando eigenen Code in Images einfügen. Außerdem stellte er fest, dass der Service einen auf zwölf Stellen verkürzten SHA256-Hash zum Zwischenspeichern verwendet. Weil der Hash dadurch auf 48 Bits begrenzt ist, können Angreifer durch Brute-Force-Attacken eine Hash-Kollison erzeugen.
Durch die Kombination dieser beiden Faktoren konnte der Sicherheitsforscher eigenen Angaben zufolge ein legitim anmutendes, aber manipuliertes Firmwareimage erstellen. Wird damit ein offizielles Image im Kontext des sysupgrade.openwrt.org-Services ersetzt, bekommen Nutzer davon nichts mit und nach der Installation sind ihre Geräte kompromittiert.
Die OpenWrt-Entwickler führen aus, dass Angreifer dafür nicht authentifiziert sein müssen. Voraussetzung ist aber, dass sie in der Lage sein müssen, Build-Anfragen mit manipulierten Paketlisten übermitteln zu können. Was das im Detail bedeutet und wie so eine Attacke ablaufen könnte, führen sie derzeit nicht aus.
Anzeige
Die Entwickler versichern, dass sie das Sicherheitsproblem bereits wenige Stunden nach der Meldung durch den Sicherheitsforscher gelöst haben. Sie gehen davon aus, dass keine manipulierten Images in Umlauf gekommen sind. Dennoch sollten Nutzer, die in jüngster Zeit eine mit SysUpgrade erstellte Firmware installiert haben, ein Inplace-Upgrade derselben Firmware-Version durchführen.
(
Kommentare