તમારા MikroTik પર RouterOS અપડેટ કરો

10 માર્ચની સાંજે, Mail.ru સપોર્ટ સર્વિસને વપરાશકર્તાઓ તરફથી ઇમેઇલ પ્રોગ્રામ્સ દ્વારા Mail.ru IMAP/SMTP સર્વર્સ સાથે કનેક્ટ કરવામાં અસમર્થતા વિશે ફરિયાદો મળવા લાગી. તે જ સમયે, કેટલાક જોડાણો પસાર થયા નથી, અને કેટલાક પ્રમાણપત્ર ભૂલ દર્શાવે છે. ભૂલ "સર્વર" દ્વારા સ્વ-હસ્તાક્ષરિત TLS પ્રમાણપત્ર જારી કરવાથી થાય છે.
 

બે દિવસમાં, વિવિધ નેટવર્ક્સ અને વિવિધ ઉપકરણો સાથેના વપરાશકર્તાઓ તરફથી 10 થી વધુ ફરિયાદો આવી, જેના કારણે સમસ્યા કોઈ એક પ્રદાતાના નેટવર્કમાં હોવાની શક્યતા નથી. સમસ્યાના વધુ વિગતવાર વિશ્લેષણથી જાણવા મળ્યું છે કે imap.mail.ru સર્વર (તેમજ અન્ય મેલ સર્વર્સ અને સેવાઓ) DNS સ્તરે બદલવામાં આવી રહ્યું છે. આગળ, અમારા વપરાશકર્તાઓની સક્રિય સહાયથી, અમને જાણવા મળ્યું કે તેનું કારણ તેમના રાઉટરની કેશમાં ખોટી એન્ટ્રી હતી, જે સ્થાનિક DNS રિઝોલ્વર પણ છે, અને જે ઘણા (પરંતુ તમામ નહીં) કિસ્સાઓમાં MikroTik હોવાનું બહાર આવ્યું છે. ઉપકરણ, નાના કોર્પોરેટ નેટવર્કમાં અને નાના ઈન્ટરનેટ પ્રદાતાઓ તરફથી ખૂબ જ લોકપ્રિય છે.

શું સમસ્યા છે

સપ્ટેમ્બર 2019 માં, સંશોધકો મળી MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979) માં ઘણી નબળાઈઓ, જેણે DNS કેશ ઝેરી હુમલાને મંજૂરી આપી, એટલે કે. રાઉટરના DNS કેશમાં DNS રેકોર્ડ્સને સ્પૂફ કરવાની ક્ષમતા અને CVE-2019-3978 હુમલાખોરને રિઝોલ્વર કેશને ઝેર આપવા માટે આંતરિક નેટવર્કમાંથી કોઈ વ્યક્તિની તેના DNS સર્વર પર એન્ટ્રીની વિનંતી કરવા માટે રાહ જોવાની પરવાનગી આપે છે, પરંતુ આવી શરૂઆત કરવા માટે પોર્ટ 8291 (UDP અને TCP) દ્વારા પોતાને વિનંતી. MikroTik દ્વારા 6.45.7 ઓક્ટોબર, 6.44.6 ના રોજ RouterOS 28 (સ્થિર) અને 2019 (લાંબા ગાળાના) સંસ્કરણોમાં નબળાઈને ઠીક કરવામાં આવી હતી, પરંતુ તે મુજબ સંશોધન મોટાભાગના વપરાશકર્તાઓએ હાલમાં પેચો ઇન્સ્ટોલ કર્યા નથી.

તે સ્પષ્ટ છે કે આ સમસ્યા હવે સક્રિય રીતે "જીવંત" શોષણ કરવામાં આવી રહી છે.

તે કેમ જોખમી છે

હુમલાખોર આંતરિક નેટવર્ક પર વપરાશકર્તા દ્વારા ઍક્સેસ કરાયેલા કોઈપણ હોસ્ટના DNS રેકોર્ડની નકલ કરી શકે છે, જેનાથી તેના પરના ટ્રાફિકને અટકાવી શકાય છે. જો સંવેદનશીલ માહિતી એન્ક્રિપ્શન વિના પ્રસારિત કરવામાં આવે છે (ઉદાહરણ તરીકે, TLS વિના http:// પર) અથવા વપરાશકર્તા નકલી પ્રમાણપત્ર સ્વીકારવા માટે સંમત થાય છે, તો હુમલાખોર કનેક્શન દ્વારા મોકલવામાં આવેલ તમામ ડેટા મેળવી શકે છે, જેમ કે લોગિન અથવા પાસવર્ડ. કમનસીબે, પ્રેક્ટિસ બતાવે છે કે જો કોઈ વપરાશકર્તાને નકલી પ્રમાણપત્ર સ્વીકારવાની તક હોય, તો તે તેનો લાભ લેશે.

શા માટે SMTP અને IMAP સર્વર્સ, અને શું વપરાશકર્તાઓને સાચવે છે

શા માટે હુમલાખોરોએ ઇમેઇલ એપ્લિકેશનના SMTP/IMAP ટ્રાફિકને અટકાવવાનો પ્રયાસ કર્યો, વેબ ટ્રાફિકને નહીં, જો કે મોટાભાગના વપરાશકર્તાઓ HTTPS બ્રાઉઝર દ્વારા તેમના મેઇલને ઍક્સેસ કરે છે?

SMTP અને IMAP/POP3 દ્વારા કામ કરતા તમામ ઈમેલ પ્રોગ્રામ્સ વપરાશકર્તાને ભૂલોથી સુરક્ષિત કરતા નથી, તેને અસુરક્ષિત અથવા ચેડા કરાયેલ કનેક્શન દ્વારા લોગિન અને પાસવર્ડ મોકલતા અટકાવતા નથી, તેમ છતાં ધોરણ મુજબ આરએફસી 8314, 2018 માં પાછું અપનાવવામાં આવ્યું હતું (અને Mail.ru માં ખૂબ અગાઉ અમલમાં આવ્યું હતું), તેઓએ કોઈપણ અસુરક્ષિત કનેક્શન દ્વારા વપરાશકર્તાને પાસવર્ડ અવરોધથી સુરક્ષિત કરવું આવશ્યક છે. વધુમાં, OAuth પ્રોટોકોલનો ઉપયોગ ઈમેલ ક્લાયંટમાં ખૂબ જ ભાગ્યે જ થાય છે (તે Mail.ru મેઈલ સર્વર્સ દ્વારા સપોર્ટેડ છે), અને તેના વિના, દરેક સત્રમાં લોગિન અને પાસવર્ડ ટ્રાન્સમિટ થાય છે.

બ્રાઉઝર્સ મેન-ઇન-ધ-મિડલ હુમલાઓ સામે થોડા વધુ સારી રીતે સુરક્ષિત હોઈ શકે છે. બધા mail.ru જટિલ ડોમેન્સ પર, HTTPS ઉપરાંત, HSTS (HTTP કડક પરિવહન સુરક્ષા) નીતિ સક્ષમ છે. HSTS સક્ષમ સાથે, આધુનિક બ્રાઉઝર વપરાશકર્તાને નકલી પ્રમાણપત્ર સ્વીકારવાનો સરળ વિકલ્પ આપતું નથી, પછી ભલે તે વપરાશકર્તા ઇચ્છે. HSTS ઉપરાંત, વપરાશકર્તાઓ એ હકીકત દ્વારા સાચવવામાં આવ્યા હતા કે 2017 થી, Mail.ru ના SMTP, IMAP અને POP3 સર્વર્સ અસુરક્ષિત કનેક્શન પર પાસવર્ડ્સ ટ્રાન્સફર કરવા પર પ્રતિબંધ મૂકે છે, અમારા બધા વપરાશકર્તાઓ SMTP, POP3 અને IMAP દ્વારા ઍક્સેસ કરવા માટે TLS નો ઉપયોગ કરે છે, અને તેથી લૉગિન અને પાસવર્ડ માત્ર ત્યારે જ અટકાવી શકે છે જો વપરાશકર્તા પોતે સ્પુફ કરેલ પ્રમાણપત્ર સ્વીકારવા માટે સંમત થાય.

મોબાઇલ વપરાશકર્તાઓ માટે, અમે હંમેશા મેઇલ ઍક્સેસ કરવા માટે Mail.ru એપ્લિકેશનનો ઉપયોગ કરવાની ભલામણ કરીએ છીએ, કારણ કે... તેમાં મેઇલ સાથે કામ કરવું એ બ્રાઉઝર અથવા બિલ્ટ-ઇન SMTP/IMAP ક્લાયંટ કરતાં વધુ સુરક્ષિત છે.

શું કરવું

MikroTik RouterOS ફર્મવેરને સુરક્ષિત સંસ્કરણ પર અપડેટ કરવું જરૂરી છે. જો કોઈ કારણોસર આ શક્ય ન હોય તો, પોર્ટ 8291 (tcp અને udp) પર ટ્રાફિકને ફિલ્ટર કરવું જરૂરી છે, આ સમસ્યાના શોષણને જટિલ બનાવશે, જો કે તે DNS કેશમાં નિષ્ક્રિય ઇન્જેક્શનની શક્યતાને દૂર કરશે નહીં. ISP એ કોર્પોરેટ વપરાશકર્તાઓને સુરક્ષિત રાખવા માટે તેમના નેટવર્ક પર આ પોર્ટને ફિલ્ટર કરવું જોઈએ. 

બધા વપરાશકર્તાઓ કે જેમણે અવેજી પ્રમાણપત્ર સ્વીકાર્યું છે તેઓએ તાત્કાલિક ઇમેઇલ અને અન્ય સેવાઓ માટે પાસવર્ડ બદલવો જોઈએ જેના માટે આ પ્રમાણપત્ર સ્વીકારવામાં આવ્યું હતું. અમારા ભાગ માટે, અમે એવા વપરાશકર્તાઓને સૂચિત કરીશું જેઓ નબળા ઉપકરણો દ્વારા મેઇલ ઍક્સેસ કરે છે.

PS પોસ્ટમાં વર્ણવેલ સંબંધિત નબળાઈ પણ છે લુકાસાફોનોવ "RouterOS માં બેકપોર્ટ નબળાઈ સેંકડો હજારો ઉપકરણોને જોખમમાં મૂકે છે".

સોર્સ: www.habr.com