अपने मिक्रोटिक पर राउटरओएस अपडेट करें

10 मार्च की शाम को, Mail.ru समर्थन सेवा को उपयोगकर्ताओं से ईमेल प्रोग्राम के माध्यम से Mail.ru IMAP/SMTP सर्वर से कनेक्ट होने में असमर्थता के बारे में शिकायतें मिलनी शुरू हुईं। उसी समय, कुछ कनेक्शन चालू नहीं हुए, और कुछ प्रमाणपत्र त्रुटि दिखाते हैं। त्रुटि "सर्वर" द्वारा स्व-हस्ताक्षरित टीएलएस प्रमाणपत्र जारी करने के कारण हुई है।
 

दो दिनों में, विभिन्न नेटवर्क और विभिन्न उपकरणों के उपयोगकर्ताओं से 10 से अधिक शिकायतें आईं, जिससे यह संभावना नहीं है कि समस्या किसी एक प्रदाता के नेटवर्क में थी। समस्या के अधिक विस्तृत विश्लेषण से पता चला कि imap.mail.ru सर्वर (साथ ही अन्य मेल सर्वर और सेवाएँ) को DNS स्तर पर बदला जा रहा है। इसके अलावा, हमारे उपयोगकर्ताओं की सक्रिय मदद से, हमने पाया कि इसका कारण उनके राउटर के कैश में एक गलत प्रविष्टि थी, जो एक स्थानीय डीएनएस रिज़ॉल्वर भी है, और जो कई (लेकिन सभी नहीं) मामलों में मिक्रोटिक के रूप में सामने आया। डिवाइस, छोटे कॉर्पोरेट नेटवर्क और छोटे इंटरनेट प्रदाताओं में बहुत लोकप्रिय है।

क्या दिक्कत है

सितंबर 2019 में, शोधकर्ता मिल गया मिक्रोटिक राउटरओएस (सीवीई-2019-3976, सीवीई-2019-3977, सीवीई-2019-3978, सीवीई-2019-3979) में कई कमजोरियां, जिसने डीएनएस कैश पॉइज़निंग हमले की अनुमति दी, यानी। राउटर के DNS कैश में DNS रिकॉर्ड को धोखा देने की क्षमता, और CVE-2019-3978 हमलावर को रिज़ॉल्वर कैश को जहर देने के लिए अपने DNS सर्वर पर प्रविष्टि का अनुरोध करने के लिए आंतरिक नेटवर्क से किसी के इंतजार करने की अनुमति नहीं देता है, बल्कि ऐसी पहल करने की अनुमति देता है पोर्ट 8291 (यूडीपी और टीसीपी) के माध्यम से स्वयं अनुरोध करें। 6.45.7 अक्टूबर, 6.44.6 को राउटरओएस 28 (स्थिर) और 2019 (दीर्घकालिक) के संस्करणों में मिक्रोटिक द्वारा भेद्यता को ठीक किया गया था, लेकिन इसके अनुसार अनुसंधान अधिकांश उपयोगकर्ताओं ने वर्तमान में पैच इंस्टॉल नहीं किए हैं।

यह स्पष्ट है कि इस समस्या का अब सक्रिय रूप से "लाइव" शोषण किया जा रहा है।

यह खतरनाक क्यों है

एक हमलावर आंतरिक नेटवर्क पर उपयोगकर्ता द्वारा एक्सेस किए गए किसी भी होस्ट के डीएनएस रिकॉर्ड को खराब कर सकता है, जिससे उस पर ट्रैफ़िक बाधित हो सकता है। यदि संवेदनशील जानकारी एन्क्रिप्शन के बिना प्रसारित की जाती है (उदाहरण के लिए, टीएलएस के बिना http:// पर) या उपयोगकर्ता नकली प्रमाणपत्र स्वीकार करने के लिए सहमत होता है, तो हमलावर कनेक्शन के माध्यम से भेजे गए सभी डेटा, जैसे लॉगिन या पासवर्ड प्राप्त कर सकता है। दुर्भाग्य से, अभ्यास से पता चलता है कि यदि किसी उपयोगकर्ता के पास नकली प्रमाणपत्र स्वीकार करने का अवसर है, तो वह इसका लाभ उठाएगा।

एसएमटीपी और आईएमएपी सर्वर क्यों, और उपयोगकर्ताओं को क्या बचाया

हमलावरों ने ईमेल एप्लिकेशन के एसएमटीपी/आईएमएपी ट्रैफिक को रोकने की कोशिश क्यों की, न कि वेब ट्रैफिक को, जबकि अधिकांश उपयोगकर्ता HTTPS ब्राउज़र के माध्यम से अपने मेल तक पहुंचते हैं?

SMTP और IMAP/POP3 के माध्यम से काम करने वाले सभी ईमेल प्रोग्राम उपयोगकर्ता को त्रुटियों से नहीं बचाते हैं, उसे असुरक्षित या समझौता किए गए कनेक्शन के माध्यम से लॉगिन और पासवर्ड भेजने से रोकते हैं, हालांकि मानक के अनुसार RFC 8314, 2018 में अपनाया गया (और बहुत पहले Mail.ru में लागू किया गया), उन्हें किसी भी असुरक्षित कनेक्शन के माध्यम से उपयोगकर्ता को पासवर्ड अवरोधन से बचाना होगा। इसके अलावा, OAuth प्रोटोकॉल का उपयोग ईमेल क्लाइंट में बहुत कम किया जाता है (यह Mail.ru मेल सर्वर द्वारा समर्थित है), और इसके बिना, प्रत्येक सत्र में लॉगिन और पासवर्ड प्रसारित होते हैं।

मैन-इन-द-मिडिल हमलों से ब्राउज़रों की सुरक्षा थोड़ी बेहतर हो सकती है। सभी mail.ru महत्वपूर्ण डोमेन पर, HTTPS के अलावा, HSTS (HTTP सख्त परिवहन सुरक्षा) नीति सक्षम है। एचएसटीएस सक्षम होने पर, एक आधुनिक ब्राउज़र उपयोगकर्ता को नकली प्रमाणपत्र स्वीकार करने का आसान विकल्प नहीं देता है, भले ही उपयोगकर्ता चाहे। एचएसटीएस के अलावा, उपयोगकर्ताओं को इस तथ्य से बचाया गया था कि 2017 के बाद से, Mail.ru के एसएमटीपी, आईएमएपी और पीओपी 3 सर्वर एक असुरक्षित कनेक्शन पर पासवर्ड के हस्तांतरण पर रोक लगाते हैं, हमारे सभी उपयोगकर्ताओं ने एसएमटीपी, पीओपी 3 और आईएमएपी के माध्यम से पहुंच के लिए टीएलएस का उपयोग किया था, और इसलिए लॉगिन और पासवर्ड केवल तभी इंटरसेप्ट कर सकते हैं जब उपयोगकर्ता स्वयं नकली प्रमाणपत्र स्वीकार करने के लिए सहमत हो।

मोबाइल उपयोगकर्ताओं के लिए, हम हमेशा मेल तक पहुँचने के लिए Mail.ru एप्लिकेशन का उपयोग करने की सलाह देते हैं, क्योंकि... उनमें मेल के साथ काम करना ब्राउज़र या अंतर्निहित एसएमटीपी/आईएमएपी क्लाइंट की तुलना में अधिक सुरक्षित है।

क्या करना है

मिक्रोटिक राउटरओएस फर्मवेयर को सुरक्षित संस्करण में अपडेट करना आवश्यक है। यदि किसी कारण से यह संभव नहीं है, तो पोर्ट 8291 (टीसीपी और यूडीपी) पर ट्रैफ़िक को फ़िल्टर करना आवश्यक है, इससे समस्या का दोहन जटिल हो जाएगा, हालांकि यह डीएनएस कैश में निष्क्रिय इंजेक्शन की संभावना को समाप्त नहीं करेगा। कॉर्पोरेट उपयोगकर्ताओं की सुरक्षा के लिए आईएसपी को अपने नेटवर्क पर इस पोर्ट को फ़िल्टर करना चाहिए। 

प्रतिस्थापित प्रमाणपत्र स्वीकार करने वाले सभी उपयोगकर्ताओं को तत्काल ईमेल और अन्य सेवाओं के लिए पासवर्ड बदलना चाहिए जिनके लिए यह प्रमाणपत्र स्वीकार किया गया था। अपनी ओर से, हम उन उपयोगकर्ताओं को सूचित करेंगे जो असुरक्षित उपकरणों के माध्यम से मेल तक पहुंचते हैं।

PS पोस्ट में संबंधित भेद्यता का भी वर्णन किया गया है लुकासफोनोव "राउटरओएस में बैकपोर्ट भेद्यता सैकड़ों हजारों उपकरणों को खतरे में डालती है".

स्रोत: www.habr.com