Quelle: OpenWRT
Das OpenWRT-Projekt hat ein Sicherheitsproblem im Attendedsysupgrade Server (ASU) behoben. Es seien keine offiziellen OpenWrt-Images betroffen gewesen und die Lücke werde nicht ausgenutzt, dennoch sollten Benutzer, die Images installiert haben, die mit einer Instanz dieses Servers erstellt wurden, eine Neuinstallation durchzuführen, rät das Projekt.
Über die Lücke (CVE-2024-54143) wäre es unter Umständen möglich gewesen, kompromittierte Pakete zu installieren. Der betroffene Server wurde zurückgesetzt und von Grund auf neu initialisiert, heißt es in der Mitteilung von OpenWRT. Benutzer können ihr Image nun erneut installieren. Ein Blogpost beschreibt die Lücke.
Der ASU basiert auf einer API, über die benutzerdefinierte Firmware-Images für Geräte mit OpenWRT mit einer beliebigen Auswahl an vorinstallierten Paketen angefordert werden können. Dadurch entfällt die Notwendigkeit, eine Build-Umgebung einzurichten, und es ist möglich, ein benutzerdefiniertes Firmware-Image auch mit einem mobilen Gerät zu erstellen.
