Se você não vive em uma caverna, sabe da existência do bug heartbleed. A melhor explicação que eu vi foi do xkcd:
A questão é: isto afeta o OpenWRT? Sim. Todos sistemas que usam uma versão ligeiramente recente do OpenSSL foram afetados. No caso do OpenWRT 12.09, ele usa a 1.0.1e-1.
Preciso me preocupar? Depende. O primeiro ponto é se você usa SSL no seu roteador. Ele é instalado por meio de um pacote chamado libopenssl. Se ele não existir, você está salvo. Você pode ver os pacotes instalados com o comando:
opkg list-installed
OK. Está instalado. Agora começo a me preocupar? Ainda não. O ataque permite que o outro lado de uma conexão SSL possa capturar pedaços de memória do seu sistema. Se seu roteador não oferece serviços SSL (https, VPN por exemplo), ele não estará vulnerável a ataques iniciados remotamente. Caso você tenha algum serviço com SSL no roteador (SSH não conta), você deve atualizar o OpenSSL.
O heartbleed também ataca clientes SSL. Desta forma, se seu roteador também acessar algo com SSL, o provedor deste serviço pode fazer um ataque no seu roteador. Isto depende do provedor do serviço SSL estar interessado em atacar você ou o serviço dele já estar comprometido com um ataque prévio. Para serviços populares, como Google, Facebook, dificilmente seria arriscado. Entretanto, tome cuidado com serviços de terceiros, principalmente rede TOR e VPN.
Agora a parte fácil. Como arrumar o problema?
opkg update
opkg upgrade libopenssl
Você terá algo como:
root@router:~# opkg upgrade libopensslUpgrading libopenssl on root from 1.0.1e-1 to 1.0.1g-1...Downloading http://downloads.openwrt.org/attitude_adjustment/12.09/ar71xx/generic/packages/libopenssl_1.0.1g-1_ar71xx.ipk.Configuring libopenssl.
Pronto! Reinicie os serviços afetados ou o roteador.
Até a próxima.
