一、漏洞概述

OpenWrt是一款基于Linux的嵌入式操作系统，专为路由器和其他网络设备设计。openwrt/asu 是 OpenWrt 项目的一个服务，用于提供 Attended SysUpgrade（ASU）功能，它允许用户创建定制的 OpenWrt 固件镜像，并在升级过程中保留已有的安装包和设置。

2024年12月10日，启明星辰集团VSRC监测到OpenWrt Attended SysUpgrade (ASU) 功能中存在命令注入漏洞和哈希截断问题（追踪为CVE-2024-54143，CVSS评分9.3），目前该漏洞的技术细节已公开披露，详情如下：

Imagebuilder命令注入漏洞：由于在镜像构建过程中，用户提供的软件包名称未经适当处理就被合并到make命令中，这可能导致恶意用户将任意命令注入构建过程，从而生成使用合法构建密钥签名的恶意固件镜像。

SHA-256 哈希截断问题：请求哈希机制将 SHA-256 哈希截断为仅 12个字符（48 比特熵），导致哈希碰撞的可能性显著增加，攻击者可以利用哈希碰撞技术用恶意镜像覆盖合法缓存镜像，从而可能导致恶意镜像传递给用户。

攻击者可组合利用这些漏洞，通过命令注入漏洞生成恶意固件镜像，并通过哈希碰撞技术，将恶意固件冒充为合法固件，并伪装在缓存中分发给用户。攻击者可以通过篡改 sysupgrade.openwrt.org 服务生成的固件镜像，当用户通过ASU、Firmware Selector 或 CLI升级等途径下载并安装恶意固件镜像后，设备可能被攻击者完全控制，从而可能导致拦截或篡改网络流量、窃取设备敏感信息或发起进一步攻击。

二、影响范围

openwrt/asu < 920c8a1

三、安全措施

3.1 升级版本

该漏洞已通过920c8a1提交进行了修复，受影响用户可将openwrt/asu服务升级到修复版本或应用补丁以缓解该漏洞。

下载链接：https://github.com/openwrt/asu/releases

3.2 参考链接

https://flatt.tech/research/posts/compromising-openwrt-supply-chain-sha256-collision/

https://github.com/openwrt/asu/security/advisories/GHSA-r3gq-96h6-3v7q

https://nvd.nist.gov/vuln/detail/CVE-2024-54143

文章版权归作者所有，未经允许请勿转载。

文章版权声明 1、本网站名称：Happy峰
2、本站永久网址：https://blog.chenjiangfeng.com
3、本站发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
4、本网站的文章部分内容可能来源于网络，仅供大家学习与参考，如有侵权，请联系站长进行删除处理。
5、本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责。
6、本站一律禁止以任何方式发布或转载任何违法的相关信息，访客发现请向站长举报
7、根据《计算机软件保护条例》第十七条，本站所有软件请仅用于学习研究用途

THE END