{"id":74131,"date":"2020-03-14T14:42:14","date_gmt":"2020-03-14T11:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik"},"modified":"2020-03-14T14:42:14","modified_gmt":"2020-03-14T11:42:14","slug":"obnovite-routeros-na-vashem-mikrotik","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","title":{"rendered":"Mettez \u00e0 jour RouterOS sur votre MikroTik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Mettez
\nLe soir du 10 mars, le service d'assistance Mail.ru a commenc\u00e9 \u00e0 recevoir des plaintes de la part des utilisateurs concernant l'incapacit\u00e9 de se connecter aux serveurs IMAP\/SMTP de Mail.ru via des programmes de messagerie. Une partie des connexions \u00e9chouait, tandis qu'une autre affichait une erreur de certificat. Cette erreur est caus\u00e9e par le fait que le \u00ab serveur \u00bb fournit un certificat TLS auto-sign\u00e9.
\n<\/a><\/noindex>\u00a0
\n\"Mettez
\nEn deux jours, plus de 10 plaintes ont \u00e9t\u00e9 re\u00e7ues de la part d'utilisateurs provenant de diff\u00e9rents r\u00e9seaux et utilisant divers appareils, rendant improbable un probl\u00e8me li\u00e9 \u00e0 un seul fournisseur. Une analyse plus d\u00e9taill\u00e9e du probl\u00e8me a r\u00e9v\u00e9l\u00e9 que le serveur imap.mail.ru (ainsi que d'autres serveurs de messagerie et services) \u00e9tait falsifi\u00e9 au niveau DNS. Ensuite, avec l'aide active de nos utilisateurs, nous avons d\u00e9couvert que la cause \u00e9tait un enregistrement incorrect dans le cache de leur routeur, qui sert \u00e9galement de r\u00e9solveur DNS local, et qui, dans de nombreux (mais pas tous) cas, \u00e9tait un appareil MikroTik, tr\u00e8s populaire dans les petites entreprises et chez les petits fournisseurs Internet.<\/p>\n

Quel est le probl\u00e8me<\/h2>\n

\nEn septembre 2019, des chercheurs trouv\u00e9s <\/a><\/noindex>plusieurs vuln\u00e9rabilit\u00e9s dans MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), qui permettaient de mener une attaque par empoisonnement du cache DNS, c'est-\u00e0-dire la possibilit\u00e9 de falsifier des enregistrements DNS dans le cache du routeur, et qui CVE-2019-3978 permet \u00e0 l'attaquant de ne pas attendre qu'un membre du r\u00e9seau interne demande un enregistrement \u00e0 son serveur DNS pour empoisonner le cache du r\u00e9solveur, mais d'initier lui-m\u00eame cette requ\u00eate via le port 8291 (UDP et TCP). La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e par MikroTik dans les versions RouterOS 6.45.7 (stable) et 6.44.6 (long terme) le 28 octobre 2019, cependant, selon les recherches <\/a><\/noindex>la plupart des utilisateurs n'ont pas encore install\u00e9 les correctifs.<\/p>\n

Il est \u00e9vident que cette probl\u00e9matique est actuellement exploit\u00e9e activement \u00ab en direct \u00bb.<\/p>\n

Quels sont les dangers<\/h2>\n

\nL'attaquant peut falsifier un enregistrement DNS de n'importe quel h\u00f4te auquel un utilisateur du r\u00e9seau interne acc\u00e8de, capturant ainsi le trafic destin\u00e9 \u00e0 celui-ci. Si des informations sensibles sont transmises sans chiffrement (par exemple, via http:\/\/ sans TLS) ou si l'utilisateur accepte un certificat falsifi\u00e9, l'attaquant peut obtenir toutes les donn\u00e9es envoy\u00e9es par la connexion, par exemple, un identifiant ou un mot de passe. Malheureusement, la pratique montre que si un utilisateur a la possibilit\u00e9 d'accepter un certificat falsifi\u00e9, il en profitera.<\/p>\n

Pourquoi pr\u00e9cis\u00e9ment les serveurs SMTP et IMAP, et ce qui a prot\u00e9g\u00e9 les utilisateurs<\/h2>\n

\nPourquoi les attaquants ont-ils essay\u00e9 d'intercepter le trafic SMTP\/IMAP des applications de messagerie plut\u00f4t que le trafic web, alors que la plupart des utilisateurs acc\u00e8dent \u00e0 leur messagerie via un navigateur en HTTPS ?<\/p>\n

Tous les programmes de messagerie utilisant SMTP et IMAP\/POP3 ne prot\u00e8gent pas l'utilisateur contre les erreurs, permettant d'envoyer le nom d'utilisateur et le mot de passe via une connexion non s\u00e9curis\u00e9e ou compromise, malgr\u00e9 la norme. RFC 8314<\/a><\/noindex>, adopt\u00e9e en 2018 (et mise en \u0153uvre dans Mail.ru bien plus t\u00f4t), devrait emp\u00eacher l'utilisateur d'\u00eatre expos\u00e9 \u00e0 l'interception de mots de passe via toute connexion non s\u00e9curis\u00e9e. De plus, le protocole OAuth est tr\u00e8s rarement utilis\u00e9 dans les clients de messagerie (il est pris en charge par les serveurs de messagerie Mail.ru), et sans cela, le nom d'utilisateur et le mot de passe sont transmis \u00e0 chaque session.<\/p>\n

Les navigateurs peuvent \u00eatre l\u00e9g\u00e8rement mieux prot\u00e9g\u00e9s contre les attaques de type Man-in-the-Middle. Sur tous les domaines critiques de mail.ru, une politique HSTS (HTTP strict transport security) est activ\u00e9e en plus du HTTPS. Avec HSTS activ\u00e9, un navigateur moderne ne permet pas \u00e0 l'utilisateur d'accepter facilement un certificat falsifi\u00e9, m\u00eame s'il le souhaite. En outre, les utilisateurs b\u00e9n\u00e9ficiaient du fait que depuis 2017, les serveurs SMTP, IMAP et POP3 de Mail.ru interdisent la transmission de mots de passe via une connexion non s\u00e9curis\u00e9e, tous nos utilisateurs utilisaient TLS pour acc\u00e9der \u00e0 SMTP, POP3 et IMAP, et donc le nom d'utilisateur et le mot de passe ne peuvent \u00eatre intercept\u00e9s que si l'utilisateur accepte lui-m\u00eame d'accepter un certificat compromis.<\/p>\n

Pour les utilisateurs mobiles, nous recommandons toujours d'utiliser les applications Mail.ru pour acc\u00e9der \u00e0 la messagerie, car leur utilisation est plus s\u00e9curis\u00e9e que via des navigateurs ou des clients SMTP\/IMAP int\u00e9gr\u00e9s.<\/p>\n

Que faut-il faire<\/h2>\n

\nIl est n\u00e9cessaire de mettre \u00e0 jour le syst\u00e8me MikroTik RouterOS vers une version s\u00e9curis\u00e9e. Si pour une raison quelconque cela n'est pas possible, il est n\u00e9cessaire de filtrer le trafic sur le port 8291 (tcp et udp), ce qui compliquera l'exploitation du probl\u00e8me, bien que cela n'\u00e9limine pas la possibilit\u00e9 d'injection passive dans le cache DNS. Les fournisseurs d'acc\u00e8s Internet devraient filtrer ce port dans leurs r\u00e9seaux pour prot\u00e9ger les utilisateurs d'entreprise.\u00a0<\/p>\n

Tous les utilisateurs ayant accept\u00e9 le certificat falsifi\u00e9 doivent changer d'urgence leur mot de passe de messagerie et d'autres services associ\u00e9s \u00e0 ce certificat. De notre c\u00f4t\u00e9, nous informerons les utilisateurs qui acc\u00e8dent \u00e0 leur messagerie via des dispositifs vuln\u00e9rables.<\/p>\n

P.S. Il existe \u00e9galement une vuln\u00e9rabilit\u00e9 associ\u00e9e d\u00e9crite dans le post. LukaSafonov<\/a><\/noindex> "La vuln\u00e9rabilit\u00e9 Backport dans RouterOS met en danger des centaines de milliers d'appareils.<\/a><\/noindex>.
\n
Source : habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0436\u0430\u043b\u043e\u0431\u044b \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a IMAP\/SMTP \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c Mail.ru \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0432 \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b\u0430, \u0430 \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u0442\u0435\u043c, \u0447\u0442\u043e \u00ab\u0441\u0435\u0440\u0432\u0435\u0440\u00bb \u043e\u0442\u0434\u0430\u0435\u0442 \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 TLS. \u00a0 \u0417\u0430 \u0434\u0432\u0430 \u0434\u043d\u044f \u043f\u0440\u0438\u0448\u043b\u043e \u0431\u043e\u043b\u0435\u0435 10 \u0436\u0430\u043b\u043e\u0431 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":74132,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-74131","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mettez \u00e0 jour RouterOS sur votre MikroTik | ProHoster","description":"Le soir du 10 mars, le service d'assistance de Mail.ru a commenc\u00e9.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u0435 RouterOS \u043d\u0430 \u0432\u0430\u0448\u0435\u043c MikroTik | ProHoster","og:description":"\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-14T11:42:14+00:00","article:modified_time":"2020-03-14T11:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"74131","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:20:27","updated":"2022-09-30 20:30:09","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/74131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=74131"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/74131\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/74132"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=74131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=74131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=74131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}