Уязвимость функционала Attended SysUpgrade сервиса sysupgrade.openwrt.org встраиваемой операционной системы OpenWrt связана с использованием обратимой односторонней хэш-функции. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, сформировать специальный вредоносный образ, подписанный легитимным ключом
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки образов микропрограммного обеспечения;
- использование изолированной программной среды для тестирования и проверки образов микропрограммного обеспечения;
- загрузка обновлений микропрограммного обеспечения из доверенных источников.
Использование рекомендаций:
https://github.com/openwrt/asu/commit/920c8a13d97b4d4095f0d939cf0aaae777e0f87e
https://github.com/openwrt/asu/security/advisories/GHSA-r3gq-96h6-3v7q
| Балл | 10 — критическая опасность |