该漏洞主要存在于 OpenWrt 的按需镜像服务器 ASU（Attended Sysupgrade）中，该服务支持用户根据自身需求定制固件。

　　公告称该漏洞无需身份验证即可利用，影响范围广泛，波及使用在线固件升级、或attended.sysupgradeCLI 升级的 OpenWrt 设备。

　　攻击者可以利用该漏洞绕过完整性检查，悄无声息地修改固件手机越狱还用翻墙吗，或在固件构建过程中注入恶意命令，最终控制用户设备。

　　Imagebuilder 中的命令注入: 攻击者可在构建镜像时，通过提交包含恶意命令的软件包列表，将任意命令注入构建过程，将导致生成的固件镜像即使使用合法密钥签名，也能植入恶意代码。

　　SHA-256 哈希碰撞截断:attended.sysupgrade服务的请求哈希机制将 SHA-256 哈希值截断为仅 12 个字符。这种截断大幅降低了哈希的安全性，让攻击者能够轻易制造哈希碰撞。攻击者预先构建恶意镜像，然后利用哈希碰撞，将恶意镜像替换掉合法的镜像，污染 artifact（软件制品）缓存，最终将恶意固件推送给用户。

　　OpenWrt 团队表示，目前没有证据表明提供的镜像受到影响，但由于可见性限制，建议用户安装新生成的镜像，替换可能存在风险的固件。