Опубликованы корректирующие выпуски дистрибутива OpenWrt  18.06.7 и  19.07.1, в которых устранена  опасная уязвимость (CVE-2020-7982) в пакетном менеджере opkg, позволяющая осуществить MITM-атаку и подменить содержимое загружаемого из репозитория пакета. Из-за ошибки в коде проверки контрольных сумм, атакующий может создать условия, при которых контрольные суммы SHA-256, присутствующие в заверенном цифровой подписью индексе пакетов, будут игнорированы, что даёт возможность обойти механизмы проверки целостности загружаемых ipk-ресурсов...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=52287

• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,cbr666rr, 09:34 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:39 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,cbr666rr, 09:44 , 01-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:56 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:39 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,cbr666rr, 09:49 , 01-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:36 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,anonymous, 15:53 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:18 , 02-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:40 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 15:21 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:19 , 02-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,и.о.К.О., 16:25 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 00:56 , 02-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 09:44 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 11:05 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Тита_М, 13:34 , 01-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 14:51 , 01-Фев-20
        • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 15:22 , 01-Фев-20
          • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 15:31 , 01-Фев-20
          • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Lex, 00:10 , 02-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 01:41 , 03-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 13:06 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 13:31 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 21:16 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,N, 17:03 , 02-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 01:43 , 03-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:20 , 02-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Nsyp, 10:18 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 10:23 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Nsyp, 10:27 , 01-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 10:45 , 01-Фев-20
        • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 16:33 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,BlackRot, 10:24 , 01-Фев-20
    • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Nsyp, 10:29 , 01-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 16:05 , 01-Фев-20
        • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Nsyp, 21:21 , 01-Фев-20
          • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:26 , 02-Фев-20
      • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:22 , 02-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 13:11 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:22 , 02-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,anonymous, 16:40 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,werwer, 21:52 , 01-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 20:49 , 01-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 22:47 , 01-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 08:27 , 02-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 14:02 , 03-Фев-20
• Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,Аноним, 15:09 , 11-Фев-20
  • Обновление OpenWrt 19.07.1 с устранением уязвимости, допуска...,это не баг трекер Openwrt, 22:09 , 13-Янв-21

Зачем оно, если есть pfSense?

Openwrt является альтернативой pfSense но для людей традиционной ориентации.

Я бы не спешил делать подобные заявления. Лол

От БСД и до БДСМ не далеко, как все мы знаем.

поддерживается больше оборудования

Ну, в принципе да, его можно на любой говнороутер воткнуть. Собственно, на этом все плюсы и заканчиваются.

Напомните где ещё кроме дебиана были подобные проблемы с проверкой пакетов?

>Уязвимость в пакетном менеджере pacman

https://www.opennet.me/opennews/art.shtml?num=50311

Можно еще вспомнить как редхат резко рекеил все репы.

Для нечастых обновлений прошивки можно использовать WGET.
т.е. сначала скачиваем себе весь репозиторий opkg пакетов для конкретного устройства по HTTPS (что важно) куда-нибудь на локальный сервер.
А потом уже спокойно ставим прошивку и пакеты.

У меня так и сделано. Все пакеты для роутера лежат на домашнем сервере, зато не страшна потеря интернета и блокировки.

>сначала скачиваем себе весь репозиторий opkg пакетов для конкретного устройства по HTTPS (что важно) куда-нибудь на локальный сервер. А потом уже спокойно ставим прошивку и пакеты.

После чего через BGP-атаку выпускают свой сертификат для серверов с обновлениями и заражают всех.

> После чего через BGP-атаку выпускают свой сертификат для серверов с обновлениями и
> заражают всех.

Только сперва в роутеры придется вгрузить свой троян, потому что без этого они черта с два пойдут пакеты устанавливать. У сабжевых роутеров установка пакетов случается в четверг нечетного месяца високосного года, при условии что был дождичек. И ждать этого момента можно и подустать.

А какая разница, скачается фейковый пакет через opkg или твоими руками wget?

или твоя квалификация позволяет провести полный анализ всех пакетов на _уязвимости_?  и время есть?

Хотя иметь локально копии пакетов значительно уменьшает гемморой настройки.

> ставим прошивку и пакеты

Image builder не осилил?

о, опять си-проблемы с указателями)) никогда такого не было и вот опять!

наверное этот код писали ненастоящие си-программисты, потому что настоящие си-программисты никогда не допускают таких ошибок!

Можно подумать, в проект на расте чуваки из NSA не пропихнут закладочку

Причём тут раст, лолка? Существуют куча языков где проблемы переполнения буфера как у няшной не существует.

Угу. Нельзя запустить на роутере - невозможно переполнение - нет проблем.

javascript можно запустить не только на рутере, но и на pic.

> интерпретатор javascrip, написанные на С,
> можно запустить не только на рутере, но и на pic.

Можно. И что?

Можно. Но, на самом деле, нет уже просто потому, что едва ли существуют процы и мк, для которых js будет "родным".

Т.е в конечном счёте, всё это будет работать в интерпретаторе , написанном почти на чём угодно, кроме js..

И кстати, js движки, порой, весьма дырявый даже в гораздо более простых случаях

> где проблемы переполнения буфера как у няшной не существует.

Зато там обычно существует много чего еще интересного. При том порой менее изученного и гораздо более просто эксплуатируемого.

> наверное этот код писали ненастоящие си-программисты, потому что настоящие си-программисты никогда не допускают таких ошибок!

Растированные си-программисты, же!

настоящим программистам раст не нужен

Что вы сразу раст приплели? Нет больше других языков?
Думаете на lisp можно настолько накосячить? Или на perl?
Да любой нормальный взять можно было! Хоть раст, хоть perl, хоть lisp, хоть (простите) swift...

> swift

чет я не уверен что его жырный рантайм средненький роутер с 400 МГц mips24k и 64 МБ оперативы потянет.

> Думаете на lisp можно настолько накосячить? Или на perl?

Ну, попробуйте на них пакетный менеджер для роутера написать - вот и узнаем. А если вам на систему 8 мегов флеша и 64 мега рамы дать, например? В роутерах больше редко бывает.

> Да любой нормальный взять можно было! Хоть раст, хоть perl, хоть lisp,
> хоть (простите) swift...

Ну так возьми - и покажи мастеркласс?

> о, опять си-проблемы с указателями)) никогда такого не было и вот опять!

Первая проблема - вообше логическая, трабла в разборе формата чексум. Такое на вообще любом яп можно сделать.

>Проблема проявляется с февраля 2017 года

Всё, что вам нужно знать об этом говнопроекте.

Я думаю мало кто из реальных пользователей пользуется opkg — билдер намного удобней  эффективнеей.

Спорное утверждение.

А, ну да, там же линукс-онли. Вендузятникам не привыкать страдать от подобного, всё ок.

Ну как бы это реальность. Остальными неудачниками можно пренебречь — их практически не существует.

Ну да ну да. А то что твой ип-линк не обновлялся уже 5 лет об этом ты умолчал, уж лучше эта фирмварь чем сток

Мой опёнок обновляется регулярно.

Удачи поставить Опёнок на что-либо отличное от x86(_64).

Зачем мне это делать?

> Зачем мне это делать?

Например, затем что мелкая 20-баксовая железка с мощной и фичастой вафлей, жрущая 2 ватта в час - это все-же хорошо. Ежели с открытой прошивкой...

> Мой опёнок обновляется регулярно.

И как там с секурностью у протокола твоего CVS-а? :)

В вашем "говнопроекте", ВООБЩЕ, НИКТО, НИКОГДА, НИЧЕГО не найдет! А знаете почему?...

> Всё, что вам нужно знать об этом говнопроекте.

Сэр покажет нам замену лучше? Только не говорите плиз "сколхозить из pc" :)

Окончательно доломали мой ASUS RT-AC58U, теперь даже dnsmasq крашится. Меня терзают смутные сомнения насчет OpenWRT вцелом.

FreshTomato поищите. Может и есть под него.

OpenWrt - отличный проект! Поздравляю всех с новыми выпусками!

Как ни посмотрю, складывается стойкое ощущение, что с каждым релизом количество поддерживаемых роутеров убывает. На новые модели они абсолютно точно забили.

> Как ни посмотрю, складывается стойкое ощущение, что с каждым релизом количество поддерживаемых
> роутеров убывает.

А список даунлоадов почему-то наоборот распух.

> На новые модели они абсолютно точно забили.

Ну так возьмите и добавьте поддержку своей железки. Заодно узнаете в чем прикол и почем нынче фунт лиха.

Да и у многих старых поддержка только наполовину.

Возможно кто-то сталкивался с моей проблемой и сможет помочь в решении. Тестировал на роутерах tp link archer c7 v2 и tp link wdr4300 v1, с прошивками 19.07.0 и 19.07.1, получая интернет по dhcp. Проблема заключается в том, что если я вытаскиваю ethernet кабель из wan порта, то uptime интерфейса не сбрасывается. Если перезагружать интерфейс программно, счетчик uptime обнуляется у интерфейса, как заставить его обнуляться при вытаскивании кабеля?    

Логичнее сходить на опенврт и написать там...