{"id":74131,"date":"2020-03-14T14:42:14","date_gmt":"2020-03-14T11:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik"},"modified":"2020-03-14T14:42:14","modified_gmt":"2020-03-14T11:42:14","slug":"obnovite-routeros-na-vashem-mikrotik","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","title":{"rendered":"Aktualisieren Sie RouterOS auf Ihrem MikroTik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Aktualisieren
\nAm Abend des 10. M\u00e4rz erhielt der Supportdienst von Mail.ru zahlreiche Beschwerden von Nutzern \u00fcber die Unm\u00f6glichkeit, sich \u00fcber E-Mail-Programme mit den IMAP-\/SMTP-Servern von Mail.ru zu verbinden. Dabei konnten einige Verbindungen nicht hergestellt werden, w\u00e4hrend andere einen Zertifikatfehler anzeigten. Der Fehler wurde durch die Tatsache verursacht, dass der \"Server\" ein selbstsigniertes TLS-Zertifikat ausgibt.
\n<\/a><\/noindex>\u00a0
\n\"Aktualisieren
\nInnerhalb von zwei Tagen gingen \u00fcber 10 Beschwerden von Nutzern aus den unterschiedlichsten Netzwerken und mit den verschiedensten Ger\u00e4ten ein, was ein Problem im Netzwerk eines einzelnen Anbieters unwahrscheinlich machte. Eine genauere Untersuchung des Problems ergab, dass der Server imap.mail.ru (sowie andere E-Mail-Server und -Dienste) auf DNS-Ebene manipuliert wurde. Weiterhin fanden wir mit aktiver Unterst\u00fctzung unserer Nutzer heraus, dass die Ursache in einem falschen Eintrag im Cache ihres Routers lag, der gleichzeitig als lokaler DNS-Resolver fungiert. In vielen (aber nicht allen) F\u00e4llen stellte sich heraus, dass es sich um ein MikroTik-Ger\u00e4t handelt, das in kleinen Unternehmensnetzwerken und bei kleinen Internetanbietern sehr beliebt ist.<\/p>\n

Was ist das Problem<\/h2>\n

\nIm September 2019 fanden Forscher mehrere Schwachstellen in MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), die eine DNS-Cache-Poisoning-Attacke erm\u00f6glichten, d.h. die M\u00f6glichkeit, DNS-Eintr\u00e4ge im DNS-Cache des Routers zu manipulieren. Insbesondere erm\u00f6glicht CVE-2019-3978 dem Angreifer, nicht darauf zu warten, dass jemand aus dem internen Netzwerk eine Anfrage an seinen DNS-Server sendet, um den Cache des Resolvers zu vergiften, sondern einen solchen Antrag selbst \u00fcber Port 8291 (UDP und TCP) einzuleiten. MikroTik behob die Schwachstelle in den Versionen RouterOS 6.45.7 (stabil) und 6.44.6 (langfristig) am 28. Oktober 2019, jedoch zeigen <\/a><\/noindex>untersuchungen dass ein gro\u00dfer Teil der Nutzer derzeit keine Patches installiert hat. <\/a><\/noindex>Offensichtlich wird dieses Problem derzeit aktiv \"in der Wildnis\" ausgenutzt.<\/p>\n

Warum ist das gef\u00e4hrlich<\/p>\n

Ein Angreifer kann den DNS-Eintrag eines beliebigen Hosts, den ein Nutzer im internen Netzwerk aufruft, manipulieren und so den Datenverkehr zu diesem Host abfangen. Wenn sensitive Informationen ohne Verschl\u00fcsselung \u00fcbertragen werden (z.B. \u00fcber http:\/\/ ohne TLS) oder der Nutzer zustimmt, ein gef\u00e4lschtes Zertifikat zu akzeptieren, kann der Angreifer alle Daten, die \u00fcber die Verbindung gesendet werden, wie Benutzernamen oder Passw\u00f6rter, abfangen. Leider zeigt die Praxis, dass wenn ein Nutzer die M\u00f6glichkeit hat, ein gef\u00e4lschtes Zertifikat zu akzeptieren, er dies auch tun wird.<\/h2>\n

\nEin Angreifer kann den DNS-Eintrag eines beliebigen Hosts, auf den ein Nutzer im internen Netzwerk zugreift, ersetzen und damit den Verkehr zu diesem Host abfangen. Wenn sensible Informationen unverschl\u00fcsselt \u00fcbertragen werden (zum Beispiel \u00fcber http:\/\/ ohne TLS) oder der Nutzer bereit ist, ein gef\u00e4lschtes Zertifikat anzunehmen, kann der Angreifer alle Daten, die \u00fcber die Verbindung gesendet werden, wie beispielsweise Anmeldedaten oder Passw\u00f6rter, abfangen. Leider zeigt die Praxis, dass, wenn ein Nutzer die M\u00f6glichkeit hat, ein gef\u00e4lschtes Zertifikat zu akzeptieren, er dies auch tun wird.<\/p>\n

Warum gerade SMTP- und IMAP-Server und was sch\u00fctzte die Nutzer?<\/h2>\n

\nWarum haben Angreifer versucht, gerade den SMTP\/IMAP-Datenverkehr von E-Mail-Anwendungen abzufangen und nicht den Webverkehr, obwohl die meisten Nutzer ihre E-Mails \u00fcber den Browser mit HTTPS abrufen?<\/p>\n

Nicht alle E-Mail-Programme, die \u00fcber SMTP und IMAP\/POP3 arbeiten, sch\u00fctzen den Nutzer vor Fehlern, indem sie ihm nicht erlauben, Benutzername und Passwort \u00fcber eine unsichere oder kompromittierte Verbindung zu senden, obwohl dies nach dem Standard RFC 8314<\/a><\/noindex>, der bereits 2018 verabschiedet wurde (und bei Mail.ru viel fr\u00fcher umgesetzt wurde), erforderlich ist. Sie sollten die Nutzer vor dem Abfangen des Passworts \u00fcber jede ungesicherte Verbindung sch\u00fctzen. Dar\u00fcber hinaus wird in E-Mail-Clients immer noch sehr selten das OAuth-Protokoll verwendet (es wird von den Mail.ru-Servers unterst\u00fctzt), und ohne dieses werden Benutzername und Passwort bei jeder Sitzung \u00fcbertragen.<\/p>\n

Browser k\u00f6nnen etwas besser vor Man-in-the-Middle-Angriffen gesch\u00fctzt sein. Auf allen kritischen mail.ru-Dom\u00e4nen ist zus\u00e4tzlich zu HTTPS die HSTS-Politik (HTTP Strict Transport Security) aktiviert. Wenn HSTS aktiviert ist, erlaubt es ein moderner Browser dem Nutzer nicht, ein gef\u00e4lschtes Zertifikat einfach zu akzeptieren, selbst wenn der Nutzer dies m\u00f6chte. Neben HSTS wurde die Nutzer auch dadurch gesch\u00fctzt, dass seit 2017 die SMTP-, IMAP- und POP3-Server von Mail.ru die Passwort\u00fcbermittlung \u00fcber ungesicherte Verbindungen verbieten. Alle unsere Nutzer verwendeten TLS f\u00fcr den Zugriff \u00fcber SMTP, POP3 und IMAP, und daher kann Benutzername und Passwort nur dann abgefangen werden, wenn der Nutzer selbst zustimmt, ein manipuliertes Zertifikat zu akzeptieren.<\/p>\n

F\u00fcr mobile Nutzer empfehlen wir immer, die Mail.ru-Anwendungen f\u00fcr den Zugriff auf E-Mails zu verwenden, da die Arbeit mit E-Mails darin sicherer ist als in Browsern oder integrierten SMTP\/IMAP-Clients.<\/p>\n

Was zu tun ist<\/h2>\n

\nEs ist notwendig, die Firmware MikroTik RouterOS auf eine sichere Version zu aktualisieren. Wenn dies aus irgendwelchen Gr\u00fcnden nicht m\u00f6glich ist, muss der Datenverkehr \u00fcber den Port 8291 (tcp und udp) gefiltert werden, was die Ausnutzung des Problems erschwert, aber die M\u00f6glichkeit einer passiven Injektion in den DNS-Cache nicht beseitigt. Internetanbieter sollten diesen Port in ihren Netzwerken filtern, um Unternehmensnutzer zu sch\u00fctzen.\u00a0<\/p>\n

Alle Benutzer, die ein gef\u00e4lschtes Zertifikat akzeptiert haben, sollten umgehend ihr Passwort f\u00fcr E-Mail und andere Dienste, f\u00fcr die dieses Zertifikat angenommen wurde, \u00e4ndern. Von unserer Seite aus werden wir die Benutzer benachrichtigen, die \u00fcber verwundbare Ger\u00e4te auf ihre E-Mails zugreifen.<\/p>\n

P.S. Es gibt noch eine verwandte Sicherheitsanf\u00e4lligkeit, die im Beitrag beschrieben ist. LukaSafonov<\/a><\/noindex> "Die Backport-Sicherheitsanf\u00e4lligkeit in RouterOS gef\u00e4hrdet Hunderttausende von Ger\u00e4ten.<\/a><\/noindex>".
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0436\u0430\u043b\u043e\u0431\u044b \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a IMAP\/SMTP \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c Mail.ru \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0432 \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b\u0430, \u0430 \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u0442\u0435\u043c, \u0447\u0442\u043e \u00ab\u0441\u0435\u0440\u0432\u0435\u0440\u00bb \u043e\u0442\u0434\u0430\u0435\u0442 \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 TLS. \u00a0 \u0417\u0430 \u0434\u0432\u0430 \u0434\u043d\u044f \u043f\u0440\u0438\u0448\u043b\u043e \u0431\u043e\u043b\u0435\u0435 10 \u0436\u0430\u043b\u043e\u0431 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":74132,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-74131","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Aktualisieren Sie RouterOS auf Ihrem MikroTik | ProHoster","description":"Am Abend des 10. M\u00e4rz begann der Support-Service von Mail.ru.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u0435 RouterOS \u043d\u0430 \u0432\u0430\u0448\u0435\u043c MikroTik | ProHoster","og:description":"\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-14T11:42:14+00:00","article:modified_time":"2020-03-14T11:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"74131","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:20:27","updated":"2022-09-30 20:30:09","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/74131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=74131"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/74131\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/74132"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=74131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=74131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=74131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}