MikroTik երթուղիչներում օգտագործվող RouterOS օպերացիոն համակարգում հայտնաբերվել է կրիտիկական խոցելիություն (CVE-2023-32154), որը թույլ է տալիս չհաստատված օգտատիրոջը հեռակա կարգով կատարել կոդը սարքի վրա՝ ուղարկելով հատուկ մշակված IPv6 երթուղիչի գովազդ (RA, Router Advertisement):
Խնդիրը պայմանավորված է IPv6 RA (երթուղիչի գովազդի) հարցումների մշակման համար պատասխանատու գործընթացում դրսից եկող տվյալների պատշաճ ստուգման բացակայությամբ, ինչը հնարավորություն է տվել գրել տվյալներ հատկացված բուֆերի սահմաններից դուրս և կազմակերպել ձեր կոդի կատարումը։ արմատային արտոնություններով: Խոցելիությունը հայտնվում է MikroTik RouterOS v6.xx և v7.xx մասնաճյուղերում, երբ IPv6 RA-ն միացված է IPv6 RA հաղորդագրությունների ընդունման կարգավորումներում («ipv6/settings/ set accept-router-advertisements=yes» կամ «ipvXNUMX/settings/»: set forward=no accept-router -advertisements=yes-if-forwarding-disabled"):
Խոցելիությունը գործնականում օգտագործելու ունակությունը դրսևորվել է Տորոնտոյում անցկացված Pwn2Own մրցույթում, որի ընթացքում խնդիրը բացահայտած հետազոտողները ստացել են $100,000 պարգև՝ ենթակառուցվածքը բազմաստիճան կոտրելու համար Mikrotik երթուղիչի վրա հարձակման և այն օգտագործելու համար: տեղական ցանցի այլ բաղադրիչների վրա հարձակման ցատկահարթակ (հետագայում հարձակվողները վերահսկողություն ձեռք բերեցին Canon տպիչի վրա, որի խոցելիության մասին տեղեկությունները նույնպես բացահայտվեցին):
Խոցելիության մասին տեղեկատվությունը ի սկզբանե հրապարակվել է նախքան արտադրողի կողմից կարկատան ստեղծումը (0 օր), սակայն RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 թարմացումները, որոնք շտկում են խոցելիությունը, արդեն հրապարակվել են։ Ըստ ZDI (Zero Day Initiative) նախագծի, որն իրականացնում է Pwn2Own մրցույթը, արտադրողը խոցելիության մասին ծանուցվել է 29 թվականի դեկտեմբերի 2022-ին: MikroTik-ի ներկայացուցիչները պնդում են, որ իրենք ծանուցում չեն ստացել և խնդրի մասին իմացել են միայն մայիսի 10-ին՝ վերջնական բացահայտման նախազգուշացում ուղարկելուց հետո։ Բացի այդ, խոցելիության զեկույցում նշվում է, որ խնդրի բնույթի մասին տեղեկատվությունը անձամբ փոխանցվել է MikroTik-ի ներկայացուցչին Տորոնտոյում Pwn2Own մրցույթի ժամանակ, սակայն, ըստ MikroTik-ի, MikroTik-ի աշխատակիցները որևէ կարգավիճակով չեն մասնակցել միջոցառմանը:
Source: opennet.ru
