Die Linux-Distribution OpenWrt kommt auf zahlreichen Routern als alternatives Betriebssystem zum Einsatz. In der mitgelieferten Paketverwaltungs-Software OPKG ist allerdings ein Bug zu finden, der eine kritische Schwachstelle verursacht. Nun stehen Sicherheitsupdates bereit.
Die "neue" Sicherheitslücke ist unter der Bezeichnung "CVE-2020-7982" bekannt. Mit dem Paket-Manager OPKG ist es möglich, Software für OpenWrt zu installieren. Das Problem tritt beim Download eines Pakets auf. Durch eine fehlerhafte Prüfung des SHA256-Hashes kann die Integrität der heruntergeladenen Daten nicht garantiert werden. Damit haben Angreifer die Möglichkeit, ohne hohen Aufwand Schadcode auf dem OpenWrt-System zu installieren.
Wie Guido Vranken, der Entdecker der Sicherheitslücke, in seinem
Blog beschreibt, muss das OpenWrt-System für eine erfolgreiche Attacke dazu gebracht werden, die Pakete von einem kompromittierten Server zu beziehen. Das ist über eine sogenannten Man-in-the-Middle-Attacke möglich. Hierbei positioniert sich der Angreifer im Netzwerk zwischen dem OpenWrt-System und dem angefragten Server, um die ausgetauschten Pakete zu manipulieren.
Sicherheitsaktualisierungen verfügbar
Die Schwachstelle existiert bereits seit drei Jahren. Inzwischen stehen allerdings Sicherheitsupdates zur Verfügung. Um das Problem zu beheben und das eigene OpenWrt-System abzusichern, sollten die Nutzer auf die aktuellen Versionen ab 18.06.7 oder 19.07.1 wechseln. Die Aktualisierungen wurden im vergangenen Monat veröffentlicht und enthalten eine sichere und zuverlässige Überprüfung des Hash-Wertes eines Pakets. Alternativ kann auch nur der Paket-Manager an sich aktualisiert werden. Eine Anleitung dazu lässt sich auf der offiziellen
Webseite von OpenWrt finden.