У аперацыйнай сістэме RouterOS, ужывальнай у маршрутызатарах MikroTik, выяўлена крытычная ўразлівасць (CVE-2023-32154), якая дазваляе неаўтэнтыфікаванаму карыстачу выдалена выканаць код на прыладзе праз адпраўку адмыслова аформленага анонсу маршрутызатара IPv6 (RA, Router Advert
Праблема выклікана адсутнасцю належнай праверкі паступаючых звонку дадзеных у працэсе, які адказвае за апрацоўку запытаў IPv6 RA (Router Advertisement), што дазволіла дамагчыся запісы дадзеных за мяжу выдзеленага буфера і арганізаваць выкананне свайго кода з прывілеямі root. Уразлівасць выяўляецца ў галінках MikroTik RouterOS v6.xx і v7.xx, пры ўключэнні ў наладах атрымання паведамленняў IPv6 RA ("ipv6/settings/ set accept-router-advertisements=yes" ці "ipv6/settings/set forward=no accept-router -advertisements=yes-if-forwarding-disabled»).
Магчымасць эксплуатацыі ўразлівасці на практыку была прадэманстравана на спаборніцтвах Pwn2Own у Таронта, падчас якіх якія выявілі праблему даследнікі атрымалі ўзнагароду, памерам $100,000 за шматэтапны ўзлом інфраструктуры з нападам на маршрутызатар Mikrotik і выкарыстаннем яго ў якасці плацдарма для нападу на іншыя кампаненты. атрымалі кіраванне над друкаркай Canon, звесткі аб уразлівасці ў якім таксама расчынены).
Інфармацыя аб уразлівасці першапачаткова была апублікаваная да фармавання выпраўлення вытворцам (0-day), але ў наш час ужо апублікаваныя абнаўленні RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 з ухіленнем уразлівасці. Па інфармацыі ад праекту ZDI (Zero Day Initiative), які праводзіць спаборніцтвы Pwn2Own, вытворца быў апавешчаны аб уразлівасці 29 снежня 2022 гады. Прадстаўнікі MikroTik сцвярджаюць, што не атрымлівалі апавяшчэння і даведаліся аб праблеме толькі 10 траўня, пасля адпраўкі фінальнага папярэджання аб раскрыцці інфармацыі. Акрамя таго, у справаздачы аб уразлівасці згадваецца, што інфармацыя аб сутнасці праблемы была перададзена прадстаўніку MikroTik у асабістым парадку падчас правядзення спаборніцтваў Pwn2Own у Таронта, але па заяве MikroTik супрацоўнікі кампаніі не прымалі ўдзелы ў мерапрыемстве ні ў якой якасці.
Крыніца: opennet.ru