2024年12月10日  —— 近日，OpenWrt 项目发布安全公告，披露了其attended.sysupgrade服务器中存在的严重安全漏洞（CVE-2024-54143）。该漏洞允许攻击者通过精心构造的软件包列表，注入恶意代码并篡改固件镜像，最终导致用户安装受损的OpenWrt固件。 
该漏洞的根本原因在于attended.sysupgrade服务器的两个关键缺陷： 


镜像构建器中的命令注入漏洞:  在构建固件镜像的过程中，服务器未能对用户提供的软件包名称进行充分的清理和验证，导致攻击者可以注入恶意命令，从而在构建过程中插入恶意代码，生成被篡改的固件镜像。 


SHA-256哈希值截断:  服务器对构建请求哈希值进行了截断，只保留了前12个字符。这大大降低了哈希值的熵值，使得攻击者更容易制造哈希碰撞。攻击者可以利用这一点，将预先构建的恶意镜像伪装成合法的镜像，从而污染系统缓存，...