{"id":74131,"date":"2020-03-14T14:42:14","date_gmt":"2020-03-14T11:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik"},"modified":"2020-03-14T14:42:14","modified_gmt":"2020-03-14T11:42:14","slug":"obnovite-routeros-na-vashem-mikrotik","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","title":{"rendered":"Opdater RouterOS p\u00e5 dit MikroTik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Opdater
\nOm aftenen den 10. marts begyndte Mail.ru's supportteam at modtage klager fra brugere om, at de ikke kunne oprette forbindelse til Mail.rus IMAP\/SMTP-servere via mailprogrammer. Nogle forbindelser mislykkedes, mens andre viste en certifikatfejl. Fejlen skyldes, at \"serveren\" returnerer et selvsigneret TLS-certifikat.
\n<\/a><\/noindex>\u00a0
\n\"Opdater
\nI l\u00f8bet af to dage kom der mere end 10 klager fra brugere fra forskellige netv\u00e6rk og med forskellige enheder, hvilket gjorde det usandsynligt, at problemet stammede fra en enkelt udbyder. En mere detaljeret analyse af problemet viste, at serveren imap.mail.ru (og ogs\u00e5 andre mailservere og tjenester) blev forfalsket p\u00e5 DNS-niveau. Med aktiv hj\u00e6lp fra vores brugere fandt vi ud af, at \u00e5rsagen var en forkert post i cache'en p\u00e5 deres router, som samtidig fungerede som lokal DNS-opl\u00f8ser, og som i mange (men ikke alle) tilf\u00e6lde viste sig at v\u00e6re en MikroTik-enhed, som er meget popul\u00e6r i sm\u00e5 virksomheders netv\u00e6rk og hos sm\u00e5 internetudbydere.<\/p>\n

Hvad er problemet<\/h2>\n

\nI september 2019 fandt forskere flere s\u00e5rbarheder i MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), som muliggjorde DNS cache poisoning-angreb, dvs. muligheden for at \u00e6ndre DNS-poster i routerens DNS-cache, hvor CVE-2019-3978 tillader angriberen at initiere en foresp\u00f8rgsel selv via port 8291 (UDP og TCP) uden at vente p\u00e5, at nogen i det indre netv\u00e6rk anmoder om posten p\u00e5 hans DNS-server for at forgifte resolverens cache. S\u00e5rbarheden blev rettet af MikroTik i versionerne RouterOS 6.45.7 (stabil) og 6.44.6 (langtids-support) den 28. oktober 2019, men if\u00f8lge <\/a><\/noindex>unders\u00f8gelserne har st\u00f8rstedelen af brugerne p\u00e5 nuv\u00e6rende tidspunkt ikke installeret patchene. <\/a><\/noindex>Det er \u00e5benlyst, at dette problem i \u00f8jeblikket bliver udnyttet \"live\".<\/p>\n

Hvor farligt er det<\/p>\n

Angriberen kan \u00e6ndre DNS-posten for enhver v\u00e6rt, som en bruger af det indre netv\u00e6rk tilg\u00e5r, og dermed opsnappe trafik til denne v\u00e6rt. Hvis f\u00f8lsomme oplysninger sendes uden kryptering (for eksempel over http:\/\/ uden TLS) eller brugeren accepterer et falsk certifikat, kan angriberen f\u00e5 alle data, der sendes gennem forbindelsen, s\u00e5som login eller adgangskode. Desv\u00e6rre viser praksis, at hvis brugeren har mulighed for at acceptere et falsk certifikat, vil han tage det.<\/h2>\n

\nAngriberen kan \u00e6ndre DNS-posten for enhver v\u00e6rt, som brugeren p\u00e5 det interne netv\u00e6rk henvender sig til, og dermed opsnappe trafikken til den. Hvis f\u00f8lsomme oplysninger overf\u00f8res uden kryptering (f.eks. via http:\/\/ uden TLS) eller brugeren accepterer et falsk certifikat, kan angriberen f\u00e5 adgang til alle de data, der sendes gennem forbindelsen, s\u00e5som brugernavn eller adgangskode. Desv\u00e6rre viser erfaringen, at hvis en bruger har mulighed for at acceptere et falsk certifikat, vil de g\u00f8re det.<\/p>\n

Hvorfor netop SMTP- og IMAP-servere, og hvad der beskyttede brugerne<\/h2>\n

\nHvorfor fors\u00f8gte angriberne at opsnappe netop SMTP\/IMAP-trafikken fra emailapplikationer og ikke web-trafikken, selvom st\u00f8rstedelen af brugerne tilg\u00e5r deres email via en browser over HTTPS?<\/p>\n

Ikke alle emailprogrammer, der arbejder med SMTP og IMAP\/POP3, beskytter brugeren mod fejlen ved at forhindre dem i at sende login og kodeord over en usikker eller kompromitteret forbindelse, selvom standarden RFC 8314<\/a><\/noindex>, vedtaget allerede i 2018 (og implementeret i Mail.ru meget tidligere), kr\u00e6ver, at de skal beskytte brugeren mod opsnapning af kodeord gennem enhver usikker forbindelse. Derudover er det stadig sj\u00e6ldent, at emailklienter bruger OAuth-protokollen (som underst\u00f8ttes af Mail.ru's emailservere), og uden den overf\u00f8res login og kodeord i hver session.<\/p>\n

Browsere kan v\u00e6re en smule bedre beskyttet mod Man-in-the-Middle-angreb. P\u00e5 alle kritiske dom\u00e6ner for mail.ru er politikken HSTS (HTTP Strict Transport Security) aktiveret ud over HTTPS. N\u00e5r HSTS er aktiveret, tillader moderne browsere ikke brugeren at v\u00e6lge et falsk certifikat, selvom de \u00f8nsker det. Ud over HSTS blev brugerne beskyttet af det faktum, at siden 2017 har SMTP-, IMAP- og POP3-servere fra Mail.ru forbudt overf\u00f8rsel af kodeord over usikre forbindelser, s\u00e5 alle vores brugere brugte TLS til at f\u00e5 adgang til SMTP, POP3 og IMAP, og derfor kan login og kodeord kun opsnappes, hvis brugeren selv accepterer det forfalskede certifikat.<\/p>\n

For mobilbrugere anbefaler vi altid at bruge Mail.ru-apps til at f\u00e5 adgang til email, da arbejdet med email i dem er mere sikkert end i browsere eller indbyggede SMTP\/IMAP-klienter.<\/p>\n

Hvad skal der g\u00f8res<\/h2>\n

\nDet er n\u00f8dvendigt at opdatere firmware af MikroTik RouterOS til en sikker version. Hvis dette af en eller anden grund ikke er muligt, er det n\u00f8dvendigt at filtrere trafik p\u00e5 port 8291 (tcp og udp), da dette vil vanskeligg\u00f8re udnyttelsen af problemet, selvom det ikke fjerner muligheden for passiv injektion i DNS-cachen. Internetudbydere b\u00f8r filtrere denne port i deres netv\u00e6rk for at beskytte virksomhedens brugere.\u00a0<\/p>\n

Alle brugere, der har accepteret det manipulerede certifikat, b\u00f8r straks \u00e6ndre deres e-mailadgangskoder og adgangskoder til andre tjenester, som dette certifikat blev accepteret for. Vi vil informere brugere, der tilg\u00e5r deres e-mail fra s\u00e5rbare enheder.<\/p>\n

P.S. Der er en anden relateret s\u00e5rbarhed beskrevet i indl\u00e6gget. LukaSafonov<\/a><\/noindex> \"Backport-s\u00e5rbarhed i RouterOS s\u00e6tter hundredtusindvis af enheder i fare<\/a><\/noindex>\".
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0436\u0430\u043b\u043e\u0431\u044b \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a IMAP\/SMTP \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c Mail.ru \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0432 \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b\u0430, \u0430 \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u0442\u0435\u043c, \u0447\u0442\u043e \u00ab\u0441\u0435\u0440\u0432\u0435\u0440\u00bb \u043e\u0442\u0434\u0430\u0435\u0442 \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 TLS. \u00a0 \u0417\u0430 \u0434\u0432\u0430 \u0434\u043d\u044f \u043f\u0440\u0438\u0448\u043b\u043e \u0431\u043e\u043b\u0435\u0435 10 \u0436\u0430\u043b\u043e\u0431 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":74132,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-74131","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Opdater RouterOS p\u00e5 din MikroTik | ProHoster","description":"Om aftenen den 10. marts begyndte Mail.ru supporttjenesten.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u0435 RouterOS \u043d\u0430 \u0432\u0430\u0448\u0435\u043c MikroTik | ProHoster","og:description":"\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-14T11:42:14+00:00","article:modified_time":"2020-03-14T11:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"74131","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:20:27","updated":"2022-09-30 20:30:09","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/74131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=74131"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/74131\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/74132"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=74131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=74131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=74131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}