MikroTik marşrutlaşdırıcılarında istifadə edilən RouterOS əməliyyat sistemində kritik zəiflik (CVE-2023-32154) müəyyən edilib ki, bu da autentifikasiyası olmayan istifadəçiyə xüsusi hazırlanmış IPv6 marşrutlaşdırıcısı reklamını (RA, Router Advertisement) göndərməklə cihazda kodu uzaqdan icra etməyə imkan verir.
Problem, ayrılmış buferin hüdudlarından kənarda məlumatları yazmağa və kodunuzun icrasını təşkil etməyə imkan verən IPv6 RA (Router Advertisement) sorğularının işlənməsi üçün cavabdeh olan prosesdə kənardan gələn məlumatların düzgün yoxlanılmasından qaynaqlanır. kök imtiyazları ilə. Zəiflik MikroTik RouterOS v6.xx və v7.xx filiallarında IPv6 RA IPv6 RA mesajlarının qəbulu üçün parametrlərdə aktivləşdirildikdə ("ipv6/settings/ set accept-router-advertisements=yes" və ya "ipvXNUMX/settings/") görünür. irəli təyin et=qəbul etmir-marşrutlaşdırıcı -reklamlar=yes-əgər-yönləndirmə-aktivdir").
Təcrübədə zəiflikdən istifadə imkanları Torontoda keçirilən Pwn2Own müsabiqəsində nümayiş etdirilib və bu müsabiqə zamanı problemi müəyyən edən tədqiqatçılar Mikrotik marşrutlaşdırıcısına hücumla infrastrukturun çoxmərhələli sındırılması və ondan istifadə üçün 100,000 dollar mükafat alıblar. yerli şəbəkənin digər komponentlərinə hücum üçün tramplin (daha sonra təcavüzkarlar Canon printerinə nəzarəti ələ keçirdilər, boşluq haqqında məlumat da açıqlandı).
Boşluq haqqında məlumat ilkin olaraq istehsalçı tərəfindən yamaq yaradılmazdan əvvəl dərc edilib (0 gün), lakin zəifliyi aradan qaldıran RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 yeniləmələri artıq dərc edilib. Pwn2Own müsabiqəsini həyata keçirən ZDI (Zero Day Initiative) layihəsindən verilən məlumata görə, istehsalçıya zəiflik barədə 29 dekabr 2022-ci ildə məlumat verilib. MikroTik nümayəndələri bildiriş almadıqlarını və problem barədə yalnız mayın 10-da son açıqlama xəbərdarlığını göndərdikdən sonra öyrəndiklərini iddia edirlər. Bundan əlavə, zəiflik hesabatında qeyd olunur ki, problemin mahiyyəti haqqında məlumat Torontoda keçirilən Pwn2Own müsabiqəsi zamanı şəxsən MikroTik nümayəndəsinə çatdırılıb, lakin MikroTik-in məlumatına görə, MikroTik əməkdaşları tədbirdə heç bir şəkildə iştirak etməyiblər.
Mənbə: opennet.ru