高危警告!开源路由系统OpenWrt曝出严重漏洞,用户请速查更新升级!

开源路由系统 OpenWrt 曝高危漏洞:CVE-2024-54143,用户需立即更新升级

27416e042820241210134331

 

近日,开源路由系统 OpenWrt 被网络安全研究人员爆出存在一枚高危安全漏洞,已分配编号 CVE-2024-54143,其漏洞评级为 9.3/10(CVSS4.0)。
虽然该漏洞已经存在一段时间,但在被发现并通报后,OpenWrt 官方团队迅速采取行动,仅用数小时完成了修复。
所有用户应及时检查是否安装了最新版本,并立即升级以确保设备安全。

使用第三方固件的用户需注意

如果您使用的是第三方编译的 OpenWrt 固件,请留意相关开发者的主页,关注上游修复进度。一旦有新版本发布,建议立即下载并安装,确保漏洞不会影响您的设备。


漏洞技术细节

此次漏洞由 Flatt Security 的研究员 RyotaK 在调试自家路由器并执行常规升级时发现,涉及以下两个主要问题:

1. 命令注入漏洞

  • 漏洞来源
    OpenWrt 的 Attended Sysupgrade(有人值守系统升级服务)功能允许用户创建定制化的固件映像,简化设备升级流程。然而,该服务在通过 sysupgrade.OpenWrt.org 的容器环境处理升级任务时,不安全地使用了 make 命令,导致输入验证存在缺陷。
  • 攻击方式
    攻击者可通过特制的软件包名称实现任意命令注入,从而执行恶意代码。

2. 哈希截断漏洞

  • 问题描述
    Attended Sysupgrade 服务采用 SHA-256 哈希作为缓存机制,但仅使用了 前 12 个字符(48 位)进行缓存标识。这种设计存在较大的安全风险,容易被暴力破解。
  • 后果
    攻击者可借助高性能显卡(如 RTX 4090)和工具(如 Hashcat)快速完成哈希碰撞,并伪造恶意版本固件,诱骗用户下载。

漏洞修复进展

在接到漏洞通报后,OpenWrt 官方团队迅速关闭了升级服务器并展开修复工作。在 2024 年 12 月 4 日,漏洞修复仅用 3 小时即完成,升级服务器也已恢复正常运行。
官方声明:

  • 目前未发现任何利用此漏洞的攻击行为,托管于 downloads.OpenWrt.org 的镜像文件亦未受到影响。
  • 但由于服务器日志仅保留最近 7 天记录,建议所有用户尽快升级至最新版本固件,以彻底消除潜在风险。

安全升级建议

  1. 官方固件用户
    • 下载最新的 OpenWrt 固件并执行升级操作。即使没有发现问题,替换现有固件也是一种更为稳妥的选择。
  2. 第三方固件用户
    • 关注固件开发者主页,等待同步更新后尽快升级至新版本。
  3. 注意事项
    • 升级后请重新检查配置文件及已安装的自定义软件包,确保系统功能正常运行。

 

虽然官方表示漏洞被利用的可能性极低,但此次事件再次提醒我们,保持路由器固件及时更新是确保网络安全的基本保障。如果您还未升级到最新版本,请务必尽快行动。

守护网络安全,从及时更新固件开始!

THE END
喜欢就支持一下吧
点赞1725 分享
TCPView v4.17 程序,显示系统上所有 TCP 和 UDP 端点的对外连接!-零度博客

TCPView v4.17 程序,显示系统上所有 TCP 和 UDP 端点的对外连接!

TCPView v4.17 程序:【点击下载】 介绍 TCPView 是一个 Windows 程序,它将向您显示系统上所有 TCP 和 UDP 端点的详细列表,包括本地和远程地址以及 TCP 连接的状态。在 Windows Server 2008、...
admin的头像-零度博客admin
1.6W+2251
手动清理电脑垃圾文件!给系统盘做一个深度清洁-零度博客

手动清理电脑垃圾文件!给系统盘做一个深度清洁

  1.MasterSeeker 大文件搜索 【官网下载】   2.Geek Uninstaller 卸载软件必备 【官网下载】  
admin的头像-零度博客admin
1.8W+1092
黑苹果双系统安装教程 | 完美搭建WIN10+黑苹果 | 附赠黑苹果Clover文件正确配置方法。-零度博客

黑苹果双系统安装教程 | 完美搭建WIN10+黑苹果 | 附赠黑苹果Clover文件正确配置方法。

https://youtu.be/UviGPrj-Jqk ?安装黑苹果双系统教程 ?在之前的视频教程中给大家做了一期的笔记本安装黑苹果的教程:https://www.youtube.com/watch?v=UI816XXYyg4&t=590s ?本期教程主要给...
超强的免费私人网盘:支持离线下载、云播放、多协议链接,与 TG 高度整合,速度巨快!PikPak | 零度解说-零度博客
核电挖矿! 美国向中国比特币矿主敞开了大门,提供廉价的核电支持挖矿,你准备好了吗?| 零度解说-零度博客
帮助学生学习、做笔记和集中注意力的技巧和工具-零度博客

帮助学生学习、做笔记和集中注意力的技巧和工具

无论您是在小学还是大学,这些应用程序和服务都可以提供学习指南、正念练习等。 带着一个新的随着学年的临近,各个年龄段的学生都将在工作中寻求帮助和指导——移动应用商店和网络上有很多选择...
admin的头像-零度博客admin
1.6W+2250
EpiCRealism 下载量高达27万的冠军级真人模型,推荐NO.3-零度博客

EpiCRealism 下载量高达27万的冠军级真人模型,推荐NO.3

EpiCRealism:下载量高达27万的冠军级真人模型,与其他真人模型相比,它的人物形象不容易被认为是生成的AI脸,非常适合生成逼真的照片。 【点击下载】epiCRealism 模型   生成参数: photo...
admin的头像-零度博客admin
1.7W+1683
为什么您现在在家工作时可能需要安全的文件共享服务-零度博客

为什么您现在在家工作时可能需要安全的文件共享服务

当我们都在办公室时,我们中的许多人都连接到办公室网络。我们不需要过多考虑共享文件。但是现在我们分散在各个领域,安全地共享重要文件需要仔细规划。这就是您可能希望使用强大的文件共享服务...
admin的头像-零度博客admin
1.5W+2251
谷歌浏览器插件 10款都是精品!Chrome扩展程序必备 (2020)-零度博客

谷歌浏览器插件 10款都是精品!Chrome扩展程序必备 (2020)

https://youtu.be/FNEn73wd_CE 【考验贞操】:https://www.youtube.com/channel/UCvijahEyGtvMpmMHBu4FS2w?sub_confirmation=1 【我们的其它频道】:https://www.youtube.com/channel/UClwagXSE...