IPv6 RA को संसाधित करते समय कोड निष्पादन के लिए अग्रणी मिक्रोटिक राउटर में भेद्यता

मिक्रोटिक राउटर्स में उपयोग किए जाने वाले राउटरओएस ऑपरेटिंग सिस्टम में एक महत्वपूर्ण भेद्यता (सीवीई-2023-32154) की पहचान की गई है, जो एक अप्रमाणित उपयोगकर्ता को विशेष रूप से तैयार किए गए आईपीवी6 राउटर घोषणा (आरए, राउटर विज्ञापन) भेजकर डिवाइस पर कोड को दूरस्थ रूप से निष्पादित करने की अनुमति देता है।

समस्या IPv6 RA (राउटर विज्ञापन) अनुरोधों को संसाधित करने के लिए जिम्मेदार प्रक्रिया में बाहर से आने वाले डेटा के उचित सत्यापन की कमी के कारण होती है, जिससे आवंटित बफर की सीमा से परे डेटा लिखना और आपके कोड के निष्पादन को व्यवस्थित करना संभव हो जाता है। रूट विशेषाधिकारों के साथ. भेद्यता स्वयं मिक्रोटिक राउटरओएस v6.xx और v7.xx शाखाओं में प्रकट होती है, जब आईपीवी 6 आरए संदेश संदेश प्राप्त करने के लिए सेटिंग्स में सक्षम होते हैं ("आईपीवी 6/सेटिंग्स/ सेट एक्सेप्ट-राउटर-विज्ञापन=हां" या "आईपीवी6/सेटिंग्स/ आगे सेट करें=कोई स्वीकार-राउटर नहीं -विज्ञापन=हाँ-यदि-अग्रेषण-अक्षम")।

व्यवहार में भेद्यता का फायदा उठाने की क्षमता को टोरंटो में Pwn2Own प्रतियोगिता में प्रदर्शित किया गया था, जिसके दौरान समस्या की पहचान करने वाले शोधकर्ताओं को मिकरोटिक राउटर पर हमले के साथ बुनियादी ढांचे की मल्टी-स्टेज हैकिंग और इसे उपयोग करने के लिए $ 100,000 का इनाम मिला था। स्थानीय नेटवर्क के अन्य घटकों पर हमला करने के लिए एक स्प्रिंगबोर्ड (इसके बाद हमले ने कैनन प्रिंटर का नियंत्रण ले लिया, जहां भेद्यता का भी खुलासा किया गया था)।

भेद्यता के बारे में जानकारी मूल रूप से निर्माता द्वारा पैच उत्पन्न होने से पहले (0-दिन) प्रकाशित की गई थी, लेकिन राउटरओएस 7.9.1, 6.49.8, 6.48.7, 7.10बीटा8 के अपडेट पहले ही भेद्यता को ठीक करने के साथ प्रकाशित किए जा चुके हैं। Pwn2Own प्रतियोगिता आयोजित करने वाले ZDI (ज़ीरो डे इनिशिएटिव) प्रोजेक्ट से मिली जानकारी के अनुसार, निर्माता को 29 दिसंबर, 2022 को भेद्यता के बारे में सूचित किया गया था। मिक्रोटिक के प्रतिनिधियों का दावा है कि उन्हें सूचना नहीं मिली और सूचना प्रकटीकरण के बारे में अंतिम चेतावनी भेजने के बाद उन्हें 10 मई को ही समस्या के बारे में पता चला। इसके अलावा, भेद्यता रिपोर्ट में उल्लेख किया गया है कि समस्या की प्रकृति के बारे में जानकारी टोरंटो में Pwn2Own प्रतियोगिता के दौरान व्यक्तिगत रूप से एक मिक्रोटिक प्रतिनिधि को प्रेषित की गई थी, लेकिन मिक्रोटिक के अनुसार, कंपनी के कर्मचारियों ने किसी भी क्षमता में इस कार्यक्रम में भाग नहीं लिया।

स्रोत: opennet.ru