Comments 5
Уязвимость лишь для тех, кто установил пакет luci-app-attendedsysupgrade?
Подтвердив наличие проблемы, разработчики временно приостановили сервис
sysupgrade.openwrt.orgи изучили уязвимость. За три часа они выпустили исправленную версию и перезапустили сервис.
Забавно, удивительно то, что и так должно быть нормой. Потому что нас уже приучили как на подобное реагируют именитые вендоры затягивая решение на дни/недели/месяцы...
Тут исследователь нашёл проблему и сам указал место в коде, которое нужно исправить. Преимущества опенсорса.
Фикс вполне очевиден прямо из исследования: "use full hash length" https://github.com/openwrt/asu/commit/d4c9e8b555eee52f17698e9cea05dc45112dd31b
Но всё равно они молодцы, что так быстро отреагировали.
В большинстве случаев, к сожалению, не всегда удаётся достаточно быстро найти решение даже при наличии упрощённого теста.
Отличная работа!
Почему то по заголовку показалось что тут речь про то что этот самый онлайн-сервис поимели (хакеры или спецслужбы) а потом начали иметь уже тех кто им пользовался.
Прошивки OpenWrt: атака на цепочку поставок