在OpenWrt的Attended Sysupgrade功能中发现了一个严重漏洞，可能允许分发恶意固件包。OpenWrt是一种适用于路由器和物联网硬件等嵌入式设备的开源操作系统，因其先进的功能和广泛的设备支持而受到青睐。来源。
该漏洞由Flatt Security研究员“RyotaK”发现，被跟踪为CVE-2024-54143，CVSS v4评分为9.3。它是在例行路由器升级期间发现的，涉及sysupgrade功能中的命令注入和哈希截断问题。OpenWrt开发人员迅速解决并修复了此漏洞，但建议用户验证其已安装固件的完整性。
Attended Sysupgrade服务允许用户创建保留现有软件包和设置的自定义版本，从而简化固件更新。但是，在服务器代码中不安全地使用“make”命令会导致一个缺陷，该缺陷可能被利用通过包名称注入任意命令。尽管问题已得到解决，但该事件凸显了固件更新中严格安全检查的重要性。