MikroTiki ruuteri haavatavus, mis viib koodi täitmiseni IPv6 RA töötlemisel.

RouterOS operatsioonisüsteemis, mida kasutatakse MikroTiki ruuterites, leiti kriitiline haavatavus (CVE-2023-32154), mis võimaldab autentimata kasutajal kaugelt seadmes koodi käitada, saates spetsiaalselt vormindatud IPv6 ruuteri reklaami (RA, Router Advertisement).

Probleem tuleneb piisava välisestest andmetest kontrollimise puudumisest protsessis, mis vastutab IPv6 RA (Router Advertisement) päringute töötlemise eest, mis võimaldas saavutada andmete kirjutamise eraldatud puu piirist ning korraldada oma koodi käitamist root-privileegidega. Haavatavus ilmneb MikroTiki RouterOS versioonides v6.xx ja v7.xx, kui on aktiveeritud IPv6 RA sõnumite vastuvõtmise seadistused («ipv6/settings/set accept-router-advertisements=yes» või «ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled»).

Haavatavuse praktilise ärakasutamise võimalust demonstreeriti Pwn2Own konkursil Torontos, kus probleemi avastanud teadlased said $100,000 suuruse preemia mitmeastmelise infrastruktuuri häkkimise eest, rünnates MikroTiki ruuteri ja kasutades seda platvormina rünnakuks teiste kohaliku võrgu komponentide vastu (hiljem said ründajad juhtimise Canon printerile, mille haavatavust on samuti paljastatud).

Teave haavatavuse kohta avaldati algselt enne tootja paranduse väljatöötamist (0-day), kuid praeguseks on juba välja antud värskendused RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8, millega haavatavus kõrvaldatakse. ZDI (Zero Day Initiative) projekti teabe kohaselt, mis korraldab Pwn2Own võistlusi, teavitati tootjat haavatavusest 29. detsembril 2022. MikroTiki esindajad väidavad, et nad ei saanud teavitust ja kuulsid probleemist alles 10. mail, pärast lõpphoiatusena info avalikustamise saatmist. Lisaks mainitakse haavatavuse aruandes, et teave probleemi sisust edastati MikroTiki esindajale isiklikult Pwn2Own konkurssi käigus Torontos, kuid MikroTiki väitel ei osalenud ettevõtte töötajad üritusel mingil kujul.

Allikas: opennet.ru