Prepoznata je kritična ranjivost (CVE-2023-32154) u operativnom sustavu RouterOS koji se koristi u MikroTik usmjerivačima, a koja neautentificiranom korisniku omogućuje daljinsko izvršavanje koda na uređaju slanjem posebno izrađene najave IPv6 usmjerivača (RA, Router Advertisement).
Problem je uzrokovan nedostatkom odgovarajuće provjere podataka koji dolaze izvana u procesu odgovornom za obradu IPv6 RA (Router Advertisement) zahtjeva, što je omogućilo pisanje podataka izvan granica dodijeljenog međuspremnika i organiziranje izvršenja vašeg koda. s root privilegijama. Ranjivost se manifestira u granama MikroTik RouterOS v6.xx i v7.xx, kada su IPv6 RA poruke omogućene u postavkama za primanje poruka ("ipv6/settings/ set accept-router-advertisements=yes" ili "ipv6/settings/ set forward=no accept-router -advertisements=yes-if-forwarding-disabled").
Sposobnost iskorištavanja ranjivosti u praksi demonstrirana je na natjecanju Pwn2Own u Torontu, tijekom kojeg su istraživači koji su identificirali problem dobili nagradu od 100,000 dolara za višefazno hakiranje infrastrukture napadom na Mikrotik router i korištenjem kao odskočna daska za napad na druge komponente lokalne mreže (u daljnjem tekstu napadač je preuzeo kontrolu nad Canon pisačem, gdje je također otkrivena ranjivost).
Informacije o ranjivosti izvorno su objavljene prije nego što je proizvođač generirao zakrpu (0 dana), ali ažuriranja za RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 već su objavljena s ispravljenom ranjivošću. Prema informacijama iz projekta ZDI (Zero Day Initiative), koji održava natjecanje Pwn2Own, proizvođač je o ranjivosti obaviješten 29. prosinca 2022. godine. Predstavnici MikroTika tvrde da nisu dobili obavijest i da su za problem saznali tek 10. svibnja, nakon što su poslali posljednje upozorenje o otkrivanju informacija. Osim toga, izvješće o ranjivosti spominje da su informacije o prirodi problema proslijeđene predstavniku MikroTika osobno tijekom Pwn2Own natjecanja u Torontu, ali prema MikroTiku zaposlenici tvrtke nisu sudjelovali u događaju ni u kojem svojstvu.
Izvor: opennet.ru