В операционната система RouterOS, използвана в маршрутизаторите MikroTik, е открита критична уязвимост (CVE-2023-32154), която позволява на неаутентифициран потребител да изпълни отдалечен код на устройството чрез изпращане на специално подготвен анонс на маршрутизатор IPv6 (RA, Router Advertisement).
Проблемът е причинен от липсата на подходяща проверка на данните, идващи от външни източници, в процеса, отговарящ за обработката на заявки за IPv6 RA (Router Advertisement), което е позволило записване на данни извън зададения буфер и извършване на изпълнение на код с привилегии root. Уязвимостта се проявява в версиите MikroTik RouterOS v6.xx и v7.xx, при включване на настройките за получаване на съобщения IPv6 RA ("ipv6/settings/set accept-router-advertisements=yes" или "ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled").
Възможността за експлоатация на уязвимостта на практика беше демонстрирана на състезанията Pwn2Own в Торонто, където изследователите, които откриха проблема, получиха награда от $100,000 за многоетапен хак на инфраструктурата с атака срещу маршрутизатора Mikrotik и използването му като плацдарм за атаки срещу други компоненти на локалната мрежа (впоследствие атакуващите получиха контрол над принтер Canon, информацията за уязвимостта на който също беше разкрита).
Информацията за уязвимостта първоначално беше публикувана преди производителят да изготви поправка (0-day), но в момента вече са публикувани актуализации на RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 с отстраняване на уязвимостта. Според информация от проекта ZDI (Zero Day Initiative), провеждащ състезанията Pwn2Own, производителят е бил уведомяван за уязвимостта на 29 декември 2022 година. Представители на MikroTik твърдят, че не са получавали уведомления и са разбрали за проблема едва на 10 май, след изпращането на финалното предупреждение за разкриване на информация. Освен това, в доклада за уязвимостта се споменава, че информацията за същността на проблема е била предадена на представител на MikroTik на лична основа по време на провеждането на състезанията Pwn2Own в Торонто, но според заявлението на MikroTik служителите на компанията не са участвали в събитието по никакъв начин.
Източник: opennet.ru
