Critical OpenWrt Vulnerability Exposes Devices to Malicious Firmware Injection
- 취약점 개요
- 취약점 번호: CVE-2024-54143
- 심각도: CVSS 스코어 9.3 (치명적)
- 발견 일자: 2024년 12월 4일, RyotaK(Flatt Security)이 보고
- 영향받는 기능: Attended Sysupgrade (ASU)
- 수정 버전: ASU 920c8a1
- 취약점 상세
- SHA-256 해시가 12자만 반영되어 충돌(Collision) 유발 가능
- 패키지 목록을 악의적으로 조작해 빌드 과정에 임의의 명령 삽입 가능
- 결과적으로 합법적인 빌드 키로 서명된 악성 펌웨어가 생성될 수 있음
- 공격 시나리오 및 영향
- 공격자는 빌드 요청에 특수 조작된 패키지 목록을 제출
- 인증 없이 빌드 요청 가능
- 정당한 펌웨어 이미지 대신, 이미 생성된 악성 펌웨어가 하위 사용자에게 공급될 수 있음
- 공급망 위험: 라우터, 게이트웨이 등에서 악성 펌웨어가 업데이트로 배포될 수 있음
- 대응 방안
- 취약한 버전의 ASU를 사용하는 사용자는 즉시 920c8a1 버전으로 업데이트
- 해시 충돌 및 빌드 프로세스 검증 강화
- 패키지 목록 제출 인터페이스 보호 및 모니터링
- 결론
- OpenWrt의 ASU 기능에서 발생한 치명적 취약점으로 인해 공급망 공격 가능성 대두
- 악성 펌웨어가 정상 빌드 키로 서명되어 최종 사용자에게 전달될 위험 존재
- 사용자와 조직은 즉각적인 패치 적용으로 공격 노출을 최소화해야 함
'Kant's IT > Vulnerability' 카테고리의 다른 글
| Sophos 방화벽의 치명적 취약점 3건 패치 완료 (0) | 2025.01.01 |
|---|---|
| Next.js 인증 우회 취약점: CVE-2024-51479 (0) | 2025.01.01 |
| Hitachi 인증 우회 취약점으로 원격 시스템 해킹 가능 (0) | 2025.01.01 |
| IBM AIX TCP/IP 취약점: 서비스 거부(DoS) 공격 위험 (0) | 2024.12.29 |
| Node.js systeminformation 패키지 취약점: RCE 공격에 노출된 수백만 시스템 (0) | 2024.12.29 |