I operativsystemet RouterOS, der anvendes i MikroTik-routere, er der identificeret en kritisk sårbarhed (CVE-2023-32154), der tillader en uautoriseret bruger at eksekvere kode eksternt på enheden ved at sende en specielt formateret IPv6-routerannoncering (RA, Router Advertisement).
Problemet skyldes mangel på ordentlig validering af data, der kommer udefra, i den proces, der håndterer IPv6 RA-anmodninger (Router Advertisement), hvilket tillod overtrædelse af grænsen for den afsatte buffer og eksekvering af egen kode med root-rettigheder. Sårbarheden findes i versioner af MikroTik RouterOS v6.xx og v7.xx, når indstillingerne for modtagelse af IPv6 RA-meddelelser er aktiveret ("ipv6/settings/set accept-router-advertisements=yes" eller "ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled").
Muligheden for praktisk udnyttelse af sårbarheden blev demonstreret ved Pwn2Own-konkurrencen i Toronto, hvor forskere, der identificerede problemet, modtog en belønning på $100,000 for en flertrins-hacking af infrastrukturen med angreb på en MikroTik-router og brugen af denne som springbræt til angreb på andre komponenter i det lokale netværk (efterfølgende fik angriberne kontrol over en Canon-printer, oplysninger om sårbarheden i denne blev også offentliggjort).
Information om sårbarheden blev oprindeligt offentliggjort før producenten havde udviklet en rettelse (0-day), men der er nu offentliggjort opdateringer til RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8, som adresserer sårbarheden. Ifølge oplysninger fra ZDI-projektet (Zero Day Initiative), som afholder Pwn2Own-konkurrencen, blev producenten informeret om sårbarheden den 29. december 2022. Repræsentanter for MikroTik hævder, at de ikke havde modtaget nogen meddelelse og først hørte om problemet den 10. maj efter at have modtaget en endelig meddelelse om offentliggørelse. Desuden omtaler rapporten om sårbarheden, at informationen om problemet blev videregivet til en repræsentant for MikroTik personligt under Pwn2Own i Toronto, men ifølge MikroTik deltog virksomhedens medarbejdere ikke i arrangementet i nogen kapacitet.
Kilde: opennet.ru
