В инструментарии ASU (Attended SysUpgrade) найдены уязвимости, позволяющие скомпрометировать сборочные артефакты OpenWrt
habr.comЭксперты по ИБ обнаружили в инструментарии ASU (Attended SysUpgrade) открытого проекта OpenWrt критические уязвимости (CVE-2024-54143).
Злоумышленники с помощью этих уязвимостей могут скомпрометировать сборочные артефакты, распространяемые через сервис sysupgrade.openwrt.org или сторонние ASU-серверы, и добиться установки модифицированных специальным образом прошивок на системы пользователей, применяющих для обновления прошивок режим attended upgrade через веб-интерфейс selector.openwrt.org или инструментарий командной строки attended.sysupgrade.По информации OpenNET, для успешного проведения атаки злоумышленнику достаточно отправить запрос формирования сборки на сервер ASU (подобные запросы любой пользователь может отправить без прохождения аутентификации).
