「OpenWrt」で汚染されたビルドが配布可能となる脆弱性

ルータをはじめ、ネットワーク機能に特化したLinuxディストリビューション「OpenWrt」において、カスタマイズされたファームウェアイメージを生成し、効率的にアップデートを配布することを支援する機能「ASU（Attended Sysupgrade）」に、深刻な脆弱性が発見された。

攻撃者が正規のビルドされたファームウェアを改ざんし、アップグレード機能を通じて配布することが可能となる脆弱性「CVE-2024-54143」が確認された。

ハッシュ値を12文字に切り詰めることから衝突攻撃に対して脆弱で、さらに「Imagebuilder」では、ユーザーより提供されるパッケージ名を正しく検証せず、コマンドインジェクションによる細工したファームウェアをビルドでき、組み合わせた攻撃が可能になるという。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.3」、重要度を「クリティカル（Critical）」とレーティングしている。

同脆弱性は、Flatt SecurityのRyotaK氏が報告したもので、12月4日にソースリポジトリで修正された。「ASU」を利用する既知の管理者にアップグレードを呼びかけている。

過去7日間のビルドログにおいて悪用の痕跡が確認されていないという。

（Security NEXT - 2024/12/10 ）ツイート