Detectada vulnerabilidad crítica en la función Attended Sysupgrade (ASU) de OpenWrt

Una grave vulnerabilidad en la función Attended Sysupgrade (ASU) de OpenWrt ha sido revelada, con el potencial de ser explotada para distribuir paquetes de firmware maliciosos. Este fallo, identificado como CVE-2024-54143, posee un puntaje CVSS de 9.3 sobre 10, indicando un nivel de severidad crítico. El investigador RyotaK, de Flatt Security, descubrió y reportó el problema el 4 de diciembre de 2024. La vulnerabilidad ha sido corregida en la versión 920c8a1 de ASU.

Según el equipo de OpenWrt, la falla combina dos elementos clave:

• Inyección de comandos en las imágenes generadas por el sistema Imagebuilder.
• La colisión de un hash SHA-256 truncado a 12 caracteres en las solicitudes de compilación.

Este conjunto de problemas permitiría a un atacante modificar la imagen legítima introduciendo una lista de paquetes especialmente diseñada para causar una colisión en el hash. Esto da lugar a la posibilidad de generar imágenes de firmware maliciosas firmadas con la clave legítima del sistema de construcción de OpenWrt.

Además, el uso de un hash SHA-256 reducido facilita reemplazar una imagen legítima por una maliciosa ya generada previamente, aumentando significativamente el riesgo para la cadena de suministro de los usuarios finales.

El fallo permitiría a un actor malicioso ejecutar comandos arbitrarios durante el proceso de construcción del firmware. Lo más alarmante es que no se requiere autenticación para explotar estas vulnerabilidades, lo que agrava el riesgo para los usuarios. Los atacantes solo necesitan enviar solicitudes de compilación que incluyan listas de paquetes manipuladas, lo que pone en peligro la integridad de las imágenes de firmware distribuidas.

RyotaK señala que, aunque no se tiene evidencia de que esta vulnerabilidad haya sido explotada, se estima que el fallo estuvo presente durante un largo período. Por ello, los desarrolladores de OpenWrt recomiendan encarecidamente actualizar a la versión más reciente de ASU para proteger los dispositivos frente a posibles amenazas.