OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）

OpenWrt是一款基于Linux的嵌入式操作系统，专为路由器和其他网络设备设计。openwrt/asu 是 OpenWrt 项目的一个服务，用于提供 Attended SysUpgrade（ASU）功能，它允许用户创建定制的 OpenWrt 固件镜像，并在升级过程中保留已有的安装包和设置。

2024年12月10日，启明星辰集团VSRC监测到OpenWrt Attended SysUpgrade (ASU) 功能中存在命令注入漏洞和哈希截断问题（追踪为CVE-2024-54143，CVSS评分9.3），目前该漏洞的技术细节已公开披露，详情如下：

Imagebuilder命令注入漏洞：由于在镜像构建过程中，用户提供的软件包名称未经适当处理就被合并到make命令中，这可能导致恶意用户将任意命令注入构建过程，从而生成使用合法构建密钥签名的恶意固件镜像。

SHA-256 哈希截断问题：请求哈希机制将 SHA-256 哈希截断为仅 12个字符（48 比特熵），导致哈希碰撞的可能性显著增加，攻击者可以利用哈希碰撞技术用恶意镜像覆盖合法缓存镜像，从而可能导致恶意镜像传递给用户。

攻击者可组合利用这些漏洞，通过命令注入漏洞生成恶意固件镜像，并通过哈希碰撞技术，将恶意固件冒充为合法固件，并伪装在缓存中分发给用户。攻击者可以通过篡改 sysupgrade.openwrt.org 服务生成的固件镜像，当用户通过ASU、Firmware Selector 或 CLI升级等途径下载并安装恶意固件镜像后，设备可能被攻击者完全控制，从而可能导致拦截或篡改网络流量、窃取设备敏感信息或发起进一步攻击。

二、影响范围

openwrt/asu < 920c8a1

三、安全措施

3.1 升级版本

该漏洞已通过920c8a1提交进行了修复，受影响用户可将openwrt/asu服务升级到修复版本或应用补丁以缓解该漏洞。

下载链接：

https://github.com/openwrt/asu/releases

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://flatt.tech/research/posts/compromising-openwrt-supply-chain-sha256-collision/

https://github.com/openwrt/asu/security/advisories/GHSA-r3gq-96h6-3v7q

https://nvd.nist.gov/vuln/detail/CVE-2024-54143

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）