Ua ʻike ʻia kahi nāwaliwali koʻikoʻi (CVE-2023-32154) i loko o ka ʻōnaehana hana RouterOS i hoʻohana ʻia i nā routers MikroTik, e hiki ai i kahi mea hoʻohana pono ʻole ke hoʻokō mamao i ka code ma ka hāmeʻa ma ka hoʻouna ʻana i kahi hoʻolaha hoʻolaha router IPv6 i hoʻolālā ʻia (RA, Router Advertisement).
Loaʻa ka pilikia ma muli o ka nele o ka hōʻoia kūpono o ka ʻikepili e hele mai ana mai waho i ke kaʻina hana no ka hoʻoponopono ʻana i nā noi IPv6 RA (Router Advertisement), i hiki ai ke kākau i ka ʻikepili ma waho o nā palena o ka buffer i hāʻawi ʻia a hoʻonohonoho i ka hoʻokō ʻana i kāu code. me nā pono kumu. Hōʻike ʻia ka nāwaliwali ma nā lālā MikroTik RouterOS v6.xx a me v7.xx, i ka wā i hiki ai iā IPv6 RA i nā hoʻonohonoho no ka loaʻa ʻana o nā leka IPv6 RA ("ipv6/settings/set accept-router-advertisements=yes" a i ʻole "ipvXNUMX/settings/ hoʻonohonoho i mua = ʻaʻole ʻae-router -advertisements = ʻae-inā-hoʻouna ʻole ʻia").
Ua hōʻike ʻia ka hiki ke hoʻohana i ka nāwaliwali ma ka hoʻomaʻamaʻa ma ka hoʻokūkū Pwn2Own ma Toronto, kahi i loaʻa ai i nā mea noiʻi i ʻike i ka pilikia ka uku o $ 100,000 no ka hacking multi-stage o ka ʻōnaehana me ka hoʻouka ʻana i ka router Mikrotik a me ka hoʻohana ʻana iā ia. kahi punawai no ka hoouka ana i na mea e ae o ka pūnaewele puni honua (ma hope ua loaa ka mana o ka mea paʻi Canon, ka ʻike e pili ana i ka nāwaliwali i hōʻike ʻia).
Ua paʻi mua ʻia ka ʻike e pili ana i ka nāwaliwali ma mua o ka hana ʻana o ka patch e ka mea hana (0-lā), akā ua paʻi mua ʻia ʻo RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 e hoʻoponopono ai i ka nāwaliwali. Wahi a ka ʻike mai ka papahana ZDI (Zero Day Initiative), e holo nei i ka hoʻokūkū Pwn2Own, ua hoʻolaha ʻia ka mea hana i ka nāwaliwali ma Dekemaba 29, 2022. Ua ʻōlelo nā ʻelele MikroTik ʻaʻole i loaʻa iā lākou ka leka hoʻomaopopo a aʻo wale e pili ana i ka pilikia ma Mei 10, ma hope o ka hoʻouna ʻana i ka ʻōlelo hōʻike hope loa. Eia kekahi, ua haʻi ka hōʻike vulnerability i ka ʻike e pili ana i ke ʻano o ka pilikia i haʻi ʻia i kahi ʻelele MikroTik ma ke kino i ka wā o ka hoʻokūkū Pwn2Own ma Toronto, akā e like me ka MikroTik, ʻaʻole i komo nā limahana MikroTik i ka hanana ma kekahi ʻano.
Source: opennet.ru