霍州市融媒体中心信息网网 12 月 11 日消息，OpenWrt 于 12 月 6 日发布安全公告，报告称 attended.sysupgrade 服务存在严重漏洞（CVE-2024-54143），攻击者可利用该漏洞污染固件镜像，向用户推送恶意固件。
安全研究员 RyotaK 在家庭实验室路由器升级过程中，发现了 OpenWrt 更新服务中的漏洞，CVSS 评分高达 9.3，编号为 CVE-2024-54143。
该漏洞主要存在于 OpenWrt 的按需镜像『服务器』 ASU（Attended Sysupgrade）中，该服务支持用户根据自身需求定制固件。
公告称该漏洞无需身份验证即可利用，影响范围广泛，波及使用在线固件升级、firmware-selector.openwrt.org 或 attended.sysupgrade CLI 升级的 OpenWrt 设备。
攻击者可以利用该漏洞绕过完整性检查，悄无声息地修改固件，或在固件构建过程中注入恶意命令，最终控制用户设备。
霍州市融媒体中心信息网网援引公告内容，该漏洞的产生，源于两个主要问题：
Imagebuilder 中的命令注入: 攻击者可在构建镜像时，通过提交包含恶意命令的软件包列表，将任意命令注入构建过程，将导致生成的固件镜像即使使用合法密钥签名，也能植入恶意代码。
SHA-256 哈希碰撞截断: attended.sysupgrade 服务的请求哈希机制将 SHA-256 哈希值截断为仅 12 个字符。这种截断大幅降低了哈希的安全性，让攻击者能够轻易制造哈希碰撞。攻击者预先构建恶意镜像，然后利用哈希碰撞，将恶意镜像替换掉合法的镜像，污染 artifact（软件制品）缓存，最终将恶意固件推送给用户。
OpenWrt 团队表示，目前没有证据表明 downloads.openwrt.org 提供的镜像受到影响，但由于可见性限制，建议用户安装新生成的镜像，替换可能存在风险的固件。
OpenWrt 官方已发布补丁修复了该漏洞，强烈建议用户尽快更新系统，以保障设备安全。
