Kritikus sérülékenységet (CVE-2023-32154) azonosítottak a MikroTik útválasztókban használt RouterOS operációs rendszerben, amely lehetővé teszi a nem hitelesített felhasználó számára, hogy egy speciálisan tervezett IPv6-os útválasztó hirdetés (RA, Router Advertisement) elküldésével távolról kódot hajtson végre az eszközön.
A problémát az okozza, hogy az IPv6 RA (Router Advertisement) kérések feldolgozásáért felelős folyamatban a kívülről érkező adatok megfelelő ellenőrzése nem történt meg, ami lehetővé tette a lefoglalt puffer határain túli adatok írását és a kód végrehajtásának megszervezését. root jogosultságokkal. A sérülékenység a MikroTik RouterOS v6.xx és v7.xx ágakban jelenik meg, ha az IPv6 RA engedélyezve van az IPv6 RA üzenetek fogadásának beállításainál („ipv6/settings/set accept-router-advertisements=yes” vagy „ipvXNUMX/settings/ set forward=no accept-router -advertisements=igen-if-forwarding-disabled").
A sebezhetőség gyakorlati kiaknázásának lehetőségét a torontói Pwn2Own versenyen mutatták be, melynek során a problémát azonosító kutatók 100,000 XNUMX dollár jutalmat kaptak az infrastruktúra többlépcsős feltöréséért a Mikrotik router elleni támadással és annak felhasználásával. ugródeszka a helyi hálózat más összetevői elleni támadáshoz (később a támadók átvették az irányítást egy Canon nyomtató felett, amelynek sebezhetőségére vonatkozó információkat is nyilvánosságra hoztak).
A sérülékenységgel kapcsolatos információkat eredetileg még azelőtt publikálták, hogy a javítást a gyártó elkészítette volna (0 nap), de már megjelentek a RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 frissítései, amelyek a biztonsági rést javítják. A Pwn2Own versenyt futtató ZDI (Zero Day Initiative) projekt információi szerint a gyártót 29. december 2022-én értesítették a sérülékenységről. A MikroTik képviselői azt állítják, hogy nem kaptak értesítést, és csak május 10-én, a végső tájékoztatási figyelmeztetés elküldése után értesültek a problémáról. A sérülékenységi jelentés emellett megemlíti, hogy a probléma természetére vonatkozó információkat a torontói Pwn2Own verseny során személyesen közölték a MikroTik képviselőjével, de a MikroTik szerint a MikroTik alkalmazottai semmilyen minőségben nem vettek részt az eseményen.
Forrás: opennet.ru