Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !
Une faille critique dans OpenWrt, les utilisateurs invités à mettre à jour

Ce système d’exploitation, basé sur Linux, est pour rappel dédié à l’ensemble des appareils amenés à router du trafic, dont les routeurs et les passerelles.

Estampillée CVE-2020-7982, elle a été découverte plus tôt dans l’année par le chercheur Guido Vranken, qui l’a signalée de manière responsable aux développeurs du système.

La faille, vieille de trois ans, réside dans la manière dans le gestionnaire de paquets OPKG vérifie l’intégrité des téléchargements via les sommes de contrôle (checksums) SHA-256. Exploitée, la faille peut permettre une attaque par l’homme du milieu et une prise de contrôle complète de l’appareil.

Toutes les versions 18.06.0 à 18.06.6 et 19.07.0, et LEDE 17.01.0 à 17.01.7 sont concernées. Les mises à jour sont disponibles depuis le mois dernier, les développeurs ayant simplement attendu qu’une majorité d’appareils les aient téléchargées avant d’en parler.

10 commentaires
Avatar de al_bebert INpactien
Avatar de al_bebertal_bebert- 25/03/20 à 09:03:15

merde j'ai un des PA qui ne dispose plus de maj :(

à voir si elle est exploitable si le PA n'est pas accéssible depuis internet (ce sont des routeurs mais ils ne servent que de PA le routage/fw est fait par un fortigate)

Avatar de zarg INpactien
Avatar de zargzarg- 25/03/20 à 09:44:40

Il est vraiment casse-pieds l’homme du milieu...

Avatar de deathscythe0666 Abonné
Avatar de deathscythe0666deathscythe0666- 25/03/20 à 10:04:56

Au pire, tu peux peut être essayer de compiler une version à jour ? C'est long et ch... mais ça se fait.

Avatar de Minikea INpactien
Avatar de MinikeaMinikea- 25/03/20 à 10:13:14

du coup, c'est la version 19.07.2 qui est à jour?

Édité par Minikea le 25/03/2020 à 10:13
Avatar de fred42 INpactien
Avatar de fred42fred42- 25/03/20 à 10:36:08

Comme la faille est liée à la vérification des packages à installer, s'il n'y a pas de MAJ, il n'y a pas de risque.

Avatar de Qruby Abonné
Avatar de QrubyQruby- 25/03/20 à 13:31:30

C'est possible de mettre à jour OpenWRT à distance? J'ai un routeur qui ne dispose plus du support constructeurs, mais je dois l'administrer à distance et j'ai l'impression que ce n'est pas possible avec OpenWRT :(

Avatar de dyox Abonné
Avatar de dyoxdyox- 25/03/20 à 18:24:14

Je ne comprends pas trop ta question. Tu as du CLI, du ssh donc tu en fais ce que tu veux.
Tu as quoi comme routeur ?

Avatar de Methio INpactien
Avatar de MethioMethio- 25/03/20 à 19:26:37

Faille "Critique", on peut discuter des adjectifs des failles deux minutes ?

Déjà sur la page openwrt en lien je ne vois la mention de critique nulle part,

Ensuite, et arrêtez moi si je me méprend, j'aimerais bien vous y voir à réussir un man in the middle stable (déjà) et attendre ~1-3 mois que l'utilisateur openwrt décide d'installer un package/mettre à jour son système pour insérer un bout de code. Sachant que ça se trouve s'il se connecte c'est pour mettre à jour opkg et là tout le plan tombe à l'eau grâce au correctif. Si vous y arrivez vous obtenez la main sur un routeur, vrai que c'est super dangereux, mais faut commencer à mettre des dns menteurs et remplacer les certificats à la volée pour commencer à avoir quelque chose sur un réseau. Faut vraiment qu'on m'en veuille si ça m'arrive.

Pour moi une faille critique c'est plus quand on peut devenir admin/root et contrôle à distance à cause de l'ouverture d'un pdf (clin d'oeil à windows), et que je peux me faire chiper des identifiants et données sensible car l'accès est immédiat.

Ou encore quand j'ai une faille sur un protocole qui permet à n'importe quel bot d'essayer de rentrer via un petit script en scannant tout le net sur les port 21, 22, 135, 445, 3396 et j'en passe.

Dans ces deux derniers cas, le danger là est imminent et c'est super important que je patch. C'est pas du tout du même ordre.

Bien sûr par rapport à l'outil opkg en lui même c'est une grosse faille par rapport à ce qui est prévu, puisque la signature est là pour dire qu'on peut avoir l'esprit tranquille sur le téléchargement en temps normal, cette chaine de confiance étant rompue par cette faille.
En terme de viabilité d'attaque par contre, plus vite fait d'envoyer un mail pourri, même en me faisant filtrer j'ai quand même beaucoup plus de chance d'arriver à quelque chose.

Avatar de Qruby Abonné
Avatar de QrubyQruby- 25/03/20 à 21:02:36

dyox a écrit :

Je ne comprends pas trop ta question. Tu as du CLI, du ssh donc tu en fais ce que tu veux.
Tu as quoi comme routeur ?

Asus AC66U, visiblement il faut un hard reset à chaque MAJ. Ou alors je confonds avec DDwrt

Avatar de dyox Abonné
Avatar de dyoxdyox- 25/03/20 à 22:38:13

J'ai un AC68U et je fais le hard reset lorsque je change de modèle de firmware, comme conseiller.
Avec le 66U, tu as de quoi t'amuser. Après avoir passé de longue année sous Asuswrt-Merlin, je suis maintenant sous FreshTomato. Il fait plus de chose nativement ; le seul moins, c'est la page OpenVPN. Sous Merlin, on importe seulement et tout simplement son fichier ovpn.

Voici les différentes url, et effectivement tu as de quoi t'occuper.
https://www.linksysinfo.org/index.php?threads/fork-freshtomato-arm-development-d...
https://www.asuswrt-merlin.net/
https://openwrt.org/toh/hwdata/asus/asus_rt-n66u_b1
https://wikidevi.wi-cat.ru/ASUS_RT-N66U

Bonne lecture

Il n'est plus possible de commenter cette actualité.