OpenWRTオープンソースオペレーティングシステムのパッケージマネージャーに新しい脆弱性が検出されました. CVE-2020-7982として識別, the 脆弱性 脅威アクターがOS上で実行されている組み込みデバイスとネットワークデバイスを構成できるようにする可能性があります.
公式のCVE-2020-7982MITREの説明は何と言っていますか?
OpenWrtで問題が発見されました 18.06.0 に 18.06.6 と 19.07.0, およびLEDE 17.01.0 に 17.01.7. 以前のoppgパッケージマネージャーのフォークのバグ 2020-01-25 署名されたリポジトリインデックスに埋め込まれたチェックサムの正しい解析を妨げます, 中間者攻撃者が任意のパッケージペイロードを注入できるようにする (検証なしでインストールされます), マイター 言う
OpenWRTの詳細
すぐに言った, OpenWRTはオープンソースです, さまざまなタイプのネットワークデバイスに適したLinuxベースのオペレーティングシステム, ホームルーターやアクセスポイントとは異なります, コンピューターに搭乗する. ベンダーがこれらのデバイスに同梱しているファームウェアやソフトウェアの代わりに、OSを導入できます。.
OpenWRT自身の説明によると, 「「シングルを作成しようとする代わりに, 静的ファームウェア, OpenWRTは、パッケージ管理を備えた完全に書き込み可能なファイルシステムを提供します. これにより、ベンダーが提供するアプリケーションの選択と構成から解放され、パッケージを使用してデバイスをカスタマイズし、任意のアプリケーションに適合させることができます。.」
CVE-2020-7982について
脆弱性はOpenWRTのOPKGパッケージマネージャーにあります. これにより、脅威アクターがダウンロードされた.ipkパッケージの整合性チェックを回避できる可能性があります。.
この脆弱性を悪用するために, ハッカーはMITMを装う必要があります, 有効で署名されたパッケージインデックスを提供する, downloads.openwrt.orgから取得したものなど – 被害者のシステムで`opkginstall`コマンドが呼び出されているときに、リポジトリインデックスで指定されたものと同じサイズの1つ以上の偽造された.ipkパッケージ, OpenWRTの問題の説明に従って.
加えて, 攻撃者は、脆弱なデバイスとダウンロードWebサーバー間の通信を傍受して置き換えるか、デバイスのDNS設定を変更して、downloads.openwrt.orgが攻撃者によって制御されているWebサーバーを指すようにする必要があります。.
幸いなことに、CVE-2020-7982の脆弱性はすでに修正されています. OpenWRTバージョン 18.06.7 と 19.07.1 1月下旬にリリースされました, そして彼らはバグを修正しました. 「「私たちの知る限り, OpenWrtバージョン 18.06.0 に 18.06.6 と 19.07.0 LEDEと同様に 17.01.0 に 17.01.7 影響を受ける. 固定パッケージはOpenWrtに統合されています 18.06.7, OpenWrt 19.07.1 以降のリリース," チーム 言った.
でも, 別の深刻な脆弱性, CVE-2020-8597は、2月下旬にリリースされた後続のバージョンで修正されました. 妥協を避けるため, 最新のOpenWRTバージョンの1つにアップグレードすることをお勧めします.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: