განაახლეთ RouterOS თქვენს MikroTik-ზე

10 მარტის საღამოს, Mail.ru-ს მხარდაჭერის სერვისმა დაიწყო მომხმარებლებისგან პრეტენზიების მიღება ელ.ფოსტის პროგრამების საშუალებით Mail.ru IMAP/SMTP სერვერებთან დაკავშირების შეუძლებლობის შესახებ. ამავდროულად, ზოგიერთი კავშირი არ გავიდა და ზოგიერთმა აჩვენა სერტიფიკატის შეცდომა. შეცდომა გამოწვეულია "სერვერის" მიერ ხელმოწერილი TLS სერტიფიკატის გაცემით.
 

ორ დღეში 10-ზე მეტი საჩივარი მოვიდა მომხმარებლებისგან სხვადასხვა ქსელებში და სხვადასხვა მოწყობილობებზე, რაც ნაკლებად სავარაუდოა, რომ პრობლემა რომელიმე პროვაიდერის ქსელში ყოფილიყო. პრობლემის უფრო დეტალურმა ანალიზმა აჩვენა, რომ imap.mail.ru სერვერი (ისევე, როგორც სხვა საფოსტო სერვერები და სერვისები) იცვლება DNS დონეზე. გარდა ამისა, ჩვენი მომხმარებლების აქტიური დახმარებით აღმოვაჩინეთ, რომ მიზეზი იყო არასწორი ჩანაწერი მათი როუტერის ქეშში, რომელიც ასევე არის ადგილობრივი DNS გადამწყვეტი და რომელიც ბევრ (მაგრამ არა ყველა) შემთხვევაში აღმოჩნდა MikroTik. მოწყობილობა, რომელიც ძალიან პოპულარულია მცირე კორპორატიულ ქსელებში და მცირე ინტერნეტ პროვაიდერებში.

Რა არის პრობლემა

2019 წლის სექტემბერში მკვლევარებმა ი რამდენიმე დაუცველობა MikroTik RouterOS-ში (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), რამაც დაუშვა DNS ქეშის მოწამვლის შეტევა, ე.ი. DNS ჩანაწერების გაყალბების შესაძლებლობა როუტერის DNS ქეში, და CVE-2019-3978 საშუალებას აძლევს თავდამსხმელს არ დაელოდოს ვინმეს შიდა ქსელიდან, რომ მოითხოვოს შესვლა მის DNS სერვერზე, რათა მოწამლოს გადამწყვეტი ქეში, არამედ დაიწყოს ასეთი თხოვნა თავად 8291 პორტის საშუალებით (UDP და TCP). დაუცველობა დაფიქსირდა MikroTik-ის მიერ RouterOS 6.45.7 (სტაბილური) და 6.44.6 (გრძელვადიანი) ვერსიებში 28 წლის 2019 ოქტომბერს, მაგრამ შესაბამისად კვლევა მომხმარებელთა უმეტესობას ამჟამად არ აქვს დაინსტალირებული პატჩები.

აშკარაა, რომ ამ პრობლემას ახლა „ლაივში“ აქტიურად იყენებენ.

რატომ არის საშიში

თავდამსხმელს შეუძლია გააფუჭოს DNS ჩანაწერი ნებისმიერი ჰოსტის შესახებ, რომელსაც მომხმარებლის მიერ წვდომა აქვს შიდა ქსელში, რითაც შეაჩერებს მასში ტრაფიკს. თუ სენსიტიური ინფორმაცია გადაიცემა დაშიფვრის გარეშე (მაგალითად, http://-ზე TLS-ის გარეშე) ან მომხმარებელი თანახმაა მიიღოს ყალბი სერთიფიკატი, თავდამსხმელს შეუძლია მიიღოს კავშირის მეშვეობით გაგზავნილი ყველა მონაცემი, როგორიცაა შესვლა ან პაროლი. სამწუხაროდ, პრაქტიკა აჩვენებს, რომ თუ მომხმარებელს აქვს შესაძლებლობა მიიღოს ყალბი სერტიფიკატი, ის ისარგებლებს ამით.

რატომ SMTP და IMAP სერვერები და რამ გადაარჩინა მომხმარებლები

რატომ ცდილობდნენ თავდამსხმელები ელ.ფოსტის აპლიკაციების SMTP/IMAP ტრაფიკის ჩარევას და არა ვებ – ტრაფიკს, თუმცა მომხმარებელთა უმეტესობა მათ ფოსტაზე წვდება HTTPS ბრაუზერის საშუალებით?

SMTP-ით და IMAP/POP3-ით მომუშავე ელ.ფოსტის ყველა პროგრამა არ იცავს მომხმარებელს შეცდომებისგან, ხელს უშლის მას შესვლისა და პაროლის გაგზავნაში დაუცველი ან გატეხილი კავშირის საშუალებით, თუმცა სტანდარტის მიხედვით. RFC 8314, მიღებული ჯერ კიდევ 2018 წელს (და განხორციელდა Mail.ru-ზე ბევრად უფრო ადრე), მათ უნდა დაიცვან მომხმარებელი პაროლის ჩარევისგან ნებისმიერი დაუცველი კავშირის საშუალებით. გარდა ამისა, OAuth პროტოკოლი ძალიან იშვიათად გამოიყენება ელ.ფოსტის კლიენტებში (მას მხარს უჭერს Mail.ru ფოსტის სერვერები) და მის გარეშე, შესვლა და პაროლი გადადის თითოეულ სესიაზე.

ბრაუზერები შეიძლება ოდნავ უკეთ იყოს დაცული Man-in-the-Middle შეტევებისგან. mail.ru-ს ყველა კრიტიკულ დომენზე, HTTPS-ის გარდა, ჩართულია HSTS (HTTP მკაცრი სატრანსპორტო უსაფრთხოება) პოლიტიკა. HSTS ჩართულით, თანამედროვე ბრაუზერი არ აძლევს მომხმარებელს ყალბი სერტიფიკატის მიღების მარტივ ვარიანტს, მაშინაც კი, თუ მომხმარებელს ეს სურს. HSTS-ის გარდა, მომხმარებლებს გადაარჩინა ის ფაქტი, რომ 2017 წლიდან Mail.ru-ს SMTP, IMAP და POP3 სერვერები კრძალავენ პაროლების გადაცემას დაუცველი კავშირის საშუალებით, ყველა ჩვენი მომხმარებელი იყენებდა TLS წვდომას SMTP, POP3 და IMAP-ით და ამიტომ შესვლისა და პაროლის ჩარევა შესაძლებელია მხოლოდ იმ შემთხვევაში, თუ თავად მომხმარებელი თანახმაა მიიღოს გაყალბებული სერტიფიკატი.

მობილური მომხმარებლებისთვის ჩვენ ყოველთვის გირჩევთ გამოიყენოთ Mail.ru აპლიკაციები ფოსტაზე წვდომისთვის, რადგან... მათში ფოსტით მუშაობა უფრო უსაფრთხოა, ვიდრე ბრაუზერებში ან ჩაშენებულ SMTP/IMAP კლიენტებში.

რა უნდა გააკეთოს

აუცილებელია MikroTik RouterOS-ის პროგრამული უზრუნველყოფის განახლება უსაფრთხო ვერსიამდე. თუ რაიმე მიზეზით ეს შეუძლებელია, საჭიროა 8291 პორტზე ტრაფიკის გაფილტვრა (tcp და udp), ეს გაართულებს პრობლემის ექსპლუატაციას, თუმცა ეს არ გამორიცხავს DNS ქეშში პასიური ინექციის შესაძლებლობას. ISP-ებმა უნდა გაფილტრონ ეს პორტი თავიანთ ქსელებში, რათა დაიცვან კორპორატიული მომხმარებლები. 

ყველა მომხმარებელმა, რომელმაც მიიღო ჩანაცვლებული სერტიფიკატი, სასწრაფოდ უნდა შეცვალოს პაროლი ელფოსტისა და სხვა სერვისებისთვის, რომლებისთვისაც ეს სერტიფიკატი იქნა მიღებული. ჩვენი მხრივ, ჩვენ ვაცნობებთ მომხმარებლებს, რომლებიც წვდებიან ფოსტაზე დაუცველი მოწყობილობების მეშვეობით.

PS ასევე არის დაკავშირებული დაუცველობა აღწერილი პოსტში ლუკა საფონოვი "RouterOS-ში Backport დაუცველობა საფრთხეში აყენებს ასობით ათას მოწყობილობას".

წყარო: www.habr.com