Актуализирайте RouterOS на вашия MikroTik

Вечерта на 10 март екипът на Mail.ru започна да получава оплаквания от потребители за невъзможност за свързване с IMAP/SMP сървърите на Mail.ru чрез пощенски програми. В част от случаите свързването не минаваше, а в други се показваше грешка в сертификата. Проблемът е причинен от факта, че ‘сървърът’ предоставя самоподписан TLS сертификат.
 

В рамките на два дни получихме над 10 оплаквания от потребители от различни мрежи и с различни устройства, което правеше малко вероятно проблемът да е в мрежа на един оператор. По-подробното разследване показа, че има подмяна на сървъра imap.mail.ru (както и на други пощенски сървъри и услуги) на ниво DNS. Впоследствие, с активната помощ на нашите потребители, открихме, че причината е в неправилна записа в кеша на техния рутер, който също така е локален DNS резолвер, и в много (но не във всички) случаи се оказа устройство MikroTik, много популярно в малките корпоративни мрежи и у малките интернет доставчици.

В какво е проблемът

През септември 2019 година изследователи откриха няколко уязвимости в MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), които позволяват извършване на атака за отравяне на кеша на DNS, т.е. възможност за подмяна на DNS записа в кеша на рутера, като CVE-2019-3978 позволява на атакуващия да не изчаква, когато някой от вътрешната мрежа изпрати заявка за запис на неговия DNS сървър, за да отрови кеша на резолвера, а да иницира такава заявка самостоятелно чрез порт 8291 (UDP и TCP). Уязвимостта беше поправена от MikroTik в версии RouterOS 6.45.7 (стабилна) и 6.44.6 (дългосрочна) на 28 октомври 2019, но според изследванията голяма част от потребителите към момента не са инсталирали актуализациите.

Очевидно е, че в момента този проблем активно се експлоатира ‘на живо’.

С какви опасности е свързан

Атакуващият може да подмени DNS записа на всякакъв хост, към който се обръща потребителят от вътрешната мрежа, така улавяйки трафика към него. Ако чувствителната информация се изпраща без криптиране (например по http:// без TLS) или потребителят се съгласи да приеме фалшив сертификат, атакуващият може да получи всички данни, които се изпращат през връзката, например потребителско име или парола. За съжаление, практиката показва, че ако потребителят има възможност да приеме фалшив сертификат, той ще я използва.

Защо точно SMTP и IMAP сървъри са важни и как те защитават потребителите

Защо атакуващите се опитвали да прихванат точно SMTP/IMAP трафик на имейл приложенията, а не уеб трафик, след като повечето потребители влизат в имейлите си чрез браузера по HTTPS?

Не всички имейл програми, работещи с SMTP и IMAP/POP3, предпазват потребителя от грешки, позволявайки им да изпратят логин и парола през незащитено или компрометирано съединение, въпреки че по стандарт RFC 8314, приет още през 2018 година (и реализиран в Mail.ru много по-рано), те трябва да защитават потребителя от прихващане на паролата през всяко незащитено съединение. Освен това, в имейл клиентите рядко се използва протоколът OAuth (който е поддръжан от имейл сървърите на Mail.ru), а без него логин и парола се предават при всяка сесия.

Браузерите може да бъдат малко по-добре защитени от Man-in-the-Middle атаки. На всички критични домейни mail.ru, в допълнение към HTTPS, е активирана политиката HSTS (HTTP strict transport security). Когато HSTS е включен, съвременният браузер не позволява на потребителя да приеме фалшив сертификат, дори ако потребителят желае да го направи. Освен HSTS, потребителите бяха защитени, тъй като от 2017 година SMTP, IMAP и POP3 сървърите на Mail.ru забраняват предаване на парола през незащитено съединение; всички наши потребители използват TLS за достъп до SMTP, POP3 и IMAP, и затова логин и парола могат да бъдат прихванати само ако потребителят сам се съгласи да приеме подменен сертификат.

За мобилни потребители, винаги препоръчваме да използват приложенията на Mail.ru за достъп до имейла, тъй като работата с имейли в тях е по-сигурна от браузерите или вградените SMTP/IMAP клиенти.

Какво трябва да се направи

Необходимо е да се актуализира фърмуера на MikroTik RouterOS до безопасна версия. Ако по някаква причина това е невъзможно, трябва да се фильтрира трафикът по порт 8291 (tcp и udp), което ще затрудни експлоатацията на проблема, въпреки че не елиминира възможността за пасивна инжекция в DNS кеша. Интернет доставчиците трябва да филтрират този порт в своите мрежи, за да защитят корпоративните потребители. 

Все потребители, которые использовали подмененный сертификат, должны немедленно изменить пароль электронной почты и других сервисов, где использовался этот сертификат. С нашей стороны, мы уведомим пользователей, которые входят в почту с потенциально уязвимых устройств.

P.S. Существует также связанная уязвимость, описанная в посте LukaSafonov "Backport уязвимост в RouterOS застрашава стотици хиляди устройства".

Източник: habr.com