MikroTik রাউটারগুলিতে দুর্বলতা যা IPv6 RA প্রক্রিয়া করার সময় কোড নির্বাহের দিকে পরিচালিত করে

MikroTik রাউটারগুলিতে ব্যবহৃত RouterOS অপারেটিং সিস্টেমে একটি জটিল দুর্বলতা (CVE-2023-32154) চিহ্নিত করা হয়েছে, যা একটি অননুমোদিত ব্যবহারকারীকে একটি বিশেষভাবে তৈরি IPv6 রাউটার ঘোষণা (RA, Router Advertisement) পাঠিয়ে একটি ডিভাইসে দূরবর্তীভাবে কোড চালানোর অনুমতি দেয়।

IPv6 RA (রাউটার অ্যাডভারটাইজমেন্ট) অনুরোধগুলি প্রক্রিয়াকরণের জন্য দায়ী প্রক্রিয়ার বাইরে থেকে আসা ডেটার সঠিক যাচাইয়ের অভাবের কারণে সমস্যাটি ঘটে, যা বরাদ্দকৃত বাফারের সীমার বাইরে ডেটা লেখা এবং আপনার কোড কার্যকর করার ব্যবস্থা করা সম্ভব করে তোলে। রুট সুবিধা সহ। দুর্বলতা MikroTik RouterOS v6.xx এবং v7.xx শাখায় নিজেকে প্রকাশ করে, যখন বার্তা গ্রহণের জন্য সেটিংসে IPv6 RA বার্তা সক্রিয় করা হয় ("ipv6/settings/ set accept-router-advertisements=yes" বা "ipv6/settings/ সেট ফরোয়ার্ড=কোন গ্রহণ-রাউটার -বিজ্ঞাপন=হ্যাঁ-যদি-ফরওয়ার্ডিং-অক্ষম")।

অনুশীলনে দুর্বলতাকে কাজে লাগানোর ক্ষমতা টরন্টোতে Pwn2Own প্রতিযোগিতায় প্রদর্শিত হয়েছিল, যে সময়ে গবেষকরা সমস্যাটি চিহ্নিত করেছেন তারা Mikrotik রাউটারে আক্রমণের সাথে পরিকাঠামোর মাল্টি-স্টেজ হ্যাকিংয়ের জন্য $100,000 পুরস্কার পেয়েছেন এবং এটি ব্যবহার করার জন্য স্থানীয় নেটওয়ার্কের অন্যান্য উপাদানগুলিতে আক্রমণ করার জন্য একটি স্প্রিংবোর্ড (এরপরে আক্রমণ একটি ক্যানন প্রিন্টারের নিয়ন্ত্রণ নিয়েছিল, যেখানে দুর্বলতাও প্রকাশ করা হয়েছিল)।

দুর্বলতা সম্পর্কে তথ্য মূলত প্রকাশ করা হয়েছিল প্যাচটি প্রস্তুতকারকের দ্বারা তৈরি করার আগে (0-দিন), কিন্তু RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8-এর আপডেটগুলি ইতিমধ্যেই দুর্বলতা সংশোধন করে প্রকাশিত হয়েছে। ZDI (জিরো ডে ইনিশিয়েটিভ) প্রকল্পের তথ্য অনুযায়ী, যা Pwn2Own প্রতিযোগিতার অধিকারী, নির্মাতাকে 29 ডিসেম্বর, 2022-এ দুর্বলতার বিষয়ে অবহিত করা হয়েছিল। MikroTik এর প্রতিনিধিরা দাবি করেন যে তারা বিজ্ঞপ্তি পাননি এবং 10 মে তথ্য প্রকাশের বিষয়ে চূড়ান্ত সতর্কবার্তা পাঠানোর পরেই সমস্যাটি সম্পর্কে জানতে পেরেছেন। এছাড়াও, দুর্বলতার প্রতিবেদনে উল্লেখ করা হয়েছে যে টরন্টোতে Pwn2Own প্রতিযোগিতার সময় সমস্যার প্রকৃতি সম্পর্কে তথ্য একজন MikroTik প্রতিনিধিকে ব্যক্তিগতভাবে প্রেরণ করা হয়েছিল, কিন্তু MikroTik এর মতে, কোম্পানির কর্মীরা কোনো ক্ষমতায় ইভেন্টে অংশগ্রহণ করেনি।

উত্স: opennet.ru