Falha expõe servidor do OpenWrt a imagens de firmware maliciosas

A vulnerabilidade, denominada CVE-2024-54143, permite a criação e distribuição de imagens de firmware maliciosas, comprometendo a integridade do processo de atualização assistida oferecido pela plataforma OpenWrt Project.

O problema reside em duas falhas principais: uma injeção de comandos no Imagebuilder e a utilização de hashes SHA-256 truncados para 12 caracteres. Estas fragilidades possibilitam aos atacantes gerarem imagens maliciosas que compartilham o mesmo hash truncado que uma imagem legítima, substituindo-a no sistema sem levantar suspeitas. “Combinadas, essas vulnerabilidades permitem que os invasores forneçam imagens de firmware comprometidas por meio do serviço Attended SysUpgrade”, alerta o OpenWrt em comunicado.

Para reduzir o risco, a empresa responsável por um sistema operativo de código aberto baseado em Linux para dispositivos embarcados lançou patches críticos e recomenda aos utilizadores que realizem atualizações manuais do firmware para a mesma versão instalada. As instâncias públicas e auto-hospedadas do sistema devem aplicar os patches de forma imediata.

Embora exista potencial para exploração, os responsáveis asseguram que todas as imagens oficiais disponíveis no repositório oficial do OpenWrt Project permanecem intactas e que as compilações personalizadas foram analisadas, sem qualquer sinal de adulteração maliciosa.