A RouterOS operációs rendszerben, amelyet a MikroTik routerek használnak, súlyos sérülékenységet (CVE-2023-32154) fedeztek fel, amely lehetővé teszi, hogy egy hitelesítetlen felhasználó távolról kódot futtasson az eszközön egy különösen kialakított IPv6 router hirdetés (RA, Router Advertisement) elküldésén keresztül.
A problémát az okozza, hogy a bejövő adatok megfelelő ellenőrzésének hiánya a IPv6 RA (Router Advertisement) kérések feldolgozásáért felelős folyamatban lehetővé tette az adatok írását a kiosztott puffer határain túl, így saját kód futtatása root jogosultságokkal válhat lehetővé. A sérülékenység a MikroTik RouterOS v6.xx és v7.xx ágakban jelentkezik, ha az IPv6 RA üzenetek fogadását a beállításokban engedélyezik ("ipv6/settings/set accept-router-advertisements=yes" vagy "ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled").
A sérülékenység gyakorlati kihasználásának lehetőségét a Pwn2Own versenyen Torontóban demonstrálták, ahol a problémát felfedező kutatók 100,000 $ jutalmat kaptak a több lépcsős infrastruktúra feltöréséért, melynek keretében a MikroTik routert használták fel más helyi hálózati komponensek elleni támadásra (a támadók ezután át tudták venni a Canon nyomtató irányítását, amelynek sérülékenysége szintén nyilvánosságra került).
A sérülékenység információját eredetileg a javítás kiadása előtt hozták nyilvánosságra (0-day), de már elérhetők a RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 frissítések, amelyek orvosolják a sebezhetőséget. A ZDI (Zero Day Initiative) projekt információi szerint, amely a Pwn2Own versenyt szervezi, a gyártót 2022. december 29-én értesítették a sérülékenységről. A MikroTik képviselői azt állítják, hogy nem kaptak értesítést, és a problémáról csak május 10-én értesültek, miután megkapták a végső figyelmeztetést az információ nyilvánosságra hozatalára. Továbbá a sérülékenység jelentésében az szerepel, hogy a probléma lényegéről a MikroTik képviselője személyesen is értesült a Pwn2Own verseny keretében, de a MikroTik nyilatkozata szerint a cég munkatársai semmilyen minőségben nem vettek részt az eseményen.
Forrás: opennet.ru
