📌 📄 内容摘要:
锐评 (@GeminiGo) 在 OpenWrt 固件升级服务器存在严重安全漏洞，已紧急修复，建议用户立即更新 中发帖
2024年12月10日 —— 近日，OpenWrt 项目发布安全公告，披露了其attended.sysupgrade服务器中存在的严重安全漏洞（CVE-2024-54143）。该漏洞允许攻击者通过精心构造的软件包列表，注入恶意代码并篡改固件镜像，最终导致用户安装受损的OpenWrt固件。
该漏洞的根本原因在于attended.sysupgrade服务器的两个关键缺陷：
镜像构建器中的命令注入漏洞: 在构建固件镜像的过程中，服务器未能对用户提供的软件包名称进行充分的清理和验证，导致攻击者可以注入恶意命令，从而在构建过程中插入恶意代码，生成被篡改的固件镜像。
SHA-256哈希值截断: 服务器对构建请求哈希值进行了截断，只保留了前12个字符。这大大降低了哈希值的熵值，使得攻击者更容易制造哈希碰撞。攻击者可以利用这一点，将预先构建的恶意镜像伪装成合法的镜像，从而污染系统缓存，...
────────── 链接信息 ──────────
🔗 论坛链接: linux.do
📎 访问地址: https://linux.do/t/topic/288792/1
─────────────────────────────
📢 来源：LINUX DO
