A cybersecurity researcher revealed technical details of a PoC of a critical remote code execution vulnerability affecting OpenWrt, an operating system based on Linux widely used for routers and embedded devices that handle network traffic.
This vulnerability focuses on OpenWrt's OPKG package manager. Specifically on the integrity verification of downloaded packages using SHA-256.
If the command can be executed “opkg install”, el fallo podría permitir que un atacante remoto pueda interceptar la comunicación de un dispositivo para ejecutar código arbitrario engañando al sistema para que instale un paquete malicioso o actualización de software sin verificación.
La vulnerabilidad que lleva afectando a los sistemas OpenWrt aproximadamente tres años. Fue descubierta a principios de este 2020 por Guido Vranken de la compañía ForAllSecure, quien luego lo informó de manera responsable al equipo de desarrollo de OpenWrt.
La explotación remota de esta vulnerabilidad es posible debido al hecho de que la integridad en los mecanismos de instalación de software basados en Linux depende de la firma digital de archivos, while files are being downloaded through an insecure HTTP connection.
Además de esto, to exploit the vulnerability, attackers must also serve a malicious package with a size equal to that specified in the package list on downloads.openwrt.org.
To fix this issue, it is recommended that affected users update their device's firmware to the latest versions of OpenWrt 18.06.7 and 19.07.1, which were released last month.