ធ្វើបច្ចុប្បន្នភាព RouterOS នៅលើ MikroTik របស់អ្នក។

នៅល្ងាចថ្ងៃទី 10 ខែមីនា សេវាកម្មគាំទ្រ Mail.ru បានចាប់ផ្តើមទទួលពាក្យបណ្តឹងពីអ្នកប្រើប្រាស់អំពីអសមត្ថភាពក្នុងការភ្ជាប់ទៅម៉ាស៊ីនមេ Mail.ru IMAP/SMTP តាមរយៈកម្មវិធីអ៊ីមែល។ ក្នុងពេលជាមួយគ្នានោះ ការភ្ជាប់មួយចំនួនមិនបានឆ្លងកាត់ ហើយខ្លះបង្ហាញកំហុសវិញ្ញាបនបត្រ។ កំហុសគឺបណ្តាលមកពី "ម៉ាស៊ីនមេ" ចេញវិញ្ញាបនបត្រ TLS ដែលបានចុះហត្ថលេខាដោយខ្លួនឯង។
 

ក្នុងរយៈពេលពីរថ្ងៃ មានការតវ៉ាច្រើនជាង 10 ពីអ្នកប្រើប្រាស់នៅលើបណ្តាញជាច្រើន និងជាមួយឧបករណ៍ផ្សេងៗ ដែលធ្វើឱ្យវាមិនទំនងថាបញ្ហានៅក្នុងបណ្តាញរបស់អ្នកផ្តល់សេវាណាមួយឡើយ។ ការវិភាគលម្អិតបន្ថែមទៀតអំពីបញ្ហាបានបង្ហាញថាម៉ាស៊ីនមេ imap.mail.ru (ក៏ដូចជាម៉ាស៊ីនមេ និងសេវាកម្មសំបុត្រផ្សេងទៀត) កំពុងត្រូវបានជំនួសនៅកម្រិត DNS ។ លើសពីនេះទៀត ដោយមានជំនួយពីអ្នកប្រើប្រាស់របស់យើង យើងបានរកឃើញថាហេតុផលគឺជាការបញ្ចូលមិនត្រឹមត្រូវនៅក្នុងឃ្លាំងសម្ងាត់នៃរ៉ោតទ័ររបស់ពួកគេ ដែលជាឧបករណ៍ដោះស្រាយ DNS មូលដ្ឋានផងដែរ ហើយករណីជាច្រើន (ប៉ុន្តែមិនមែនទាំងអស់) បានក្លាយជា MikroTik ឧបករណ៍ ដែលពេញនិយមយ៉ាងខ្លាំងនៅក្នុងបណ្តាញសាជីវកម្មតូច និងពីអ្នកផ្តល់អ៊ីនធឺណិតតូចៗ។

មាន​បញ្ហា​អ្វី

នៅខែកញ្ញាឆ្នាំ 2019 អ្នកស្រាវជ្រាវ បានរកឃើញ ភាពងាយរងគ្រោះជាច្រើននៅក្នុង MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979) ដែលអនុញ្ញាតឱ្យមានការវាយប្រហារបំពុលឃ្លាំងសម្ងាត់ DNS ពោលគឺឧ។ សមត្ថភាពក្នុងការក្លែងបន្លំកំណត់ត្រា DNS នៅក្នុងឃ្លាំងសម្ងាត់ DNS របស់រ៉ោតទ័រ ហើយ CVE-2019-3978 អនុញ្ញាតឱ្យអ្នកវាយប្រហារមិនរង់ចាំនរណាម្នាក់ពីបណ្តាញខាងក្នុងដើម្បីស្នើសុំធាតុនៅលើម៉ាស៊ីនមេ DNS របស់គាត់ ដើម្បីបំពុលឃ្លាំងសម្ងាត់អ្នកដោះស្រាយ ប៉ុន្តែដើម្បីចាប់ផ្តើមបែបនេះ។ ស្នើសុំដោយខ្លួនឯងតាមរយៈច្រក 8291 (UDP និង TCP) ។ ភាពងាយរងគ្រោះត្រូវបានជួសជុលដោយ MikroTik នៅក្នុងកំណែរបស់ RouterOS 6.45.7 (ស្ថេរភាព) និង 6.44.6 (រយៈពេលវែង) នៅថ្ងៃទី 28 ខែតុលា ឆ្នាំ 2019 ប៉ុន្តែយោងទៅតាម ស្រាវជ្រាវ អ្នកប្រើប្រាស់ភាគច្រើនមិនទាន់បានដំឡើងបំណះទេ។

វាច្បាស់ណាស់ថាបញ្ហានេះកំពុងត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្ម "បន្តផ្ទាល់"។

ហេតុអ្វីបានជាវាមានគ្រោះថ្នាក់

អ្នកវាយប្រហារអាចក្លែងបន្លំកំណត់ត្រា DNS នៃម៉ាស៊ីនណាមួយដែលចូលប្រើដោយអ្នកប្រើប្រាស់នៅលើបណ្តាញខាងក្នុង ដោយហេតុនេះអាចស្ទាក់ចាប់ចរាចរទៅកាន់វា។ ប្រសិនបើព័ត៌មានរសើបត្រូវបានបញ្ជូនដោយគ្មានការអ៊ិនគ្រីប (ឧទាហរណ៍តាមរយៈ http:// ដោយគ្មាន TLS) ឬអ្នកប្រើប្រាស់យល់ព្រមទទួលយកវិញ្ញាបនបត្រក្លែងក្លាយ អ្នកវាយប្រហារអាចទទួលបានទិន្នន័យទាំងអស់ដែលត្រូវបានផ្ញើតាមរយៈការតភ្ជាប់ ដូចជាការចូល ឬពាក្យសម្ងាត់។ ជាអកុសល ការអនុវត្តបង្ហាញថា ប្រសិនបើអ្នកប្រើមានឱកាសទទួលយកវិញ្ញាបនបត្រក្លែងក្លាយ គាត់នឹងទាញយកអត្ថប្រយោជន៍ពីវា។

ហេតុអ្វីបានជាម៉ាស៊ីនមេ SMTP និង IMAP និងអ្វីដែលបានរក្សាទុកអ្នកប្រើប្រាស់

ហេតុអ្វីបានជាអ្នកវាយប្រហារព្យាយាមស្ទាក់ចាប់ចរាចរ SMTP/IMAP នៃកម្មវិធីអ៊ីមែល ហើយមិនមែនចរាចរគេហទំព័រទេ ទោះបីជាអ្នកប្រើប្រាស់ភាគច្រើនចូលប្រើសំបុត្ររបស់ពួកគេតាមរយៈកម្មវិធីរុករក HTTPS ក៏ដោយ?

មិនមែនកម្មវិធីអ៊ីមែលទាំងអស់ដែលដំណើរការតាមរយៈ SMTP និង IMAP/POP3 ការពារអ្នកប្រើប្រាស់ពីកំហុស ដោយរារាំងគាត់ពីការផ្ញើការចូល និងពាក្យសម្ងាត់តាមរយៈការតភ្ជាប់ដែលមិនមានសុវត្ថិភាព ឬមានការសម្របសម្រួល ទោះបីជាយោងទៅតាមស្តង់ដារក៏ដោយ។ RFC 8314ដែលត្រូវបានអនុម័តនៅឆ្នាំ 2018 (និងបានអនុវត្តនៅក្នុង Mail.ru ច្រើនមុននេះ) ពួកគេត្រូវតែការពារអ្នកប្រើប្រាស់ពីការស្ទាក់ចាប់ពាក្យសម្ងាត់តាមរយៈការតភ្ជាប់ដែលគ្មានសុវត្ថិភាពណាមួយ។ លើសពីនេះ ពិធីការ OAuth កម្រត្រូវបានប្រើប្រាស់ក្នុងកម្មវិធីអ៊ីមែល (វាត្រូវបានគាំទ្រដោយម៉ាស៊ីនមេអ៊ីមែល Mail.ru) ហើយបើគ្មានវាទេ ការចូល និងពាក្យសម្ងាត់ត្រូវបានបញ្ជូនក្នុងវគ្គនីមួយៗ។

កម្មវិធីរុករកអាចការពារបានប្រសើរជាងបន្តិច ប្រឆាំងនឹងការវាយប្រហារដោយមនុស្សនៅកណ្តាល។ នៅលើដែនសំខាន់ៗ mail.ru ទាំងអស់ បន្ថែមពីលើ HTTPS គោលការណ៍ HSTS (សុវត្ថិភាពដឹកជញ្ជូនយ៉ាងតឹងរឹង HTTP) ត្រូវបានបើក។ ជាមួយនឹងការបើក HSTS កម្មវិធីរុករកតាមអ៊ីនធឺណិតទំនើបមិនផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវជម្រើសងាយស្រួលក្នុងការទទួលយកវិញ្ញាបនបត្រក្លែងក្លាយនោះទេ ទោះបីជាអ្នកប្រើប្រាស់ចង់បានក៏ដោយ។ បន្ថែមពីលើ HSTS អ្នកប្រើប្រាស់ត្រូវបានរក្សាទុកដោយការពិតដែលថាចាប់តាំងពីឆ្នាំ 2017 មក ម៉ាស៊ីនមេ SMTP, IMAP និង POP3 របស់ Mail.ru ហាមឃាត់ការផ្ទេរពាក្យសម្ងាត់លើការតភ្ជាប់ដែលមិនមានសុវត្ថិភាព អ្នកប្រើប្រាស់ទាំងអស់របស់យើងបានប្រើ TLS សម្រាប់ការចូលប្រើតាមរយៈ SMTP, POP3 និង IMAP និង ដូច្នេះការចូល និងពាក្យសម្ងាត់អាចស្ទាក់ចាប់បានលុះត្រាតែអ្នកប្រើប្រាស់ខ្លួនគាត់យល់ព្រមទទួលយកវិញ្ញាបនបត្រក្លែងក្លាយ។

សម្រាប់អ្នកប្រើប្រាស់ទូរស័ព្ទ យើងតែងតែណែនាំឲ្យប្រើកម្មវិធី Mail.ru ដើម្បីចូលប្រើសំបុត្រ ព្រោះ... ការធ្វើការជាមួយសំបុត្រនៅក្នុងពួកវាគឺមានសុវត្ថិភាពជាងនៅក្នុងកម្មវិធីរុករក ឬម៉ាស៊ីនភ្ញៀវ SMTP/IMAP ដែលមានស្រាប់។

អ្វីដែលត្រូវធ្វើ

វាចាំបាច់ក្នុងការធ្វើបច្ចុប្បន្នភាពកម្មវិធីបង្កប់ MikroTik RouterOS ទៅជាកំណែសុវត្ថិភាព។ ប្រសិនបើហេតុផលមួយចំនួនវាមិនអាចទៅរួច វាចាំបាច់ក្នុងការត្រងចរាចរនៅលើច្រក 8291 (tcp និង udp) វានឹងធ្វើឱ្យមានភាពស្មុគស្មាញដល់ការកេងប្រវ័ញ្ចនៃបញ្ហា ទោះបីជាវានឹងមិនលុបបំបាត់លទ្ធភាពនៃការចាក់បញ្ចូលអកម្មទៅក្នុងឃ្លាំងសម្ងាត់ DNS ក៏ដោយ។ ISPs គួរតែត្រងច្រកនេះនៅលើបណ្តាញរបស់ពួកគេដើម្បីការពារអ្នកប្រើប្រាស់សាជីវកម្ម។ 

អ្នកប្រើប្រាស់ទាំងអស់ដែលបានទទួលយកវិញ្ញាបនបត្រជំនួសគួរតែផ្លាស់ប្តូរជាបន្ទាន់នូវពាក្យសម្ងាត់សម្រាប់អ៊ីមែល និងសេវាកម្មផ្សេងទៀតដែលវិញ្ញាបនបត្រនេះត្រូវបានទទួលយក។ សម្រាប់ផ្នែករបស់យើង យើងនឹងជូនដំណឹងដល់អ្នកប្រើប្រាស់ដែលចូលប្រើសំបុត្រតាមរយៈឧបករណ៍ដែលងាយរងគ្រោះ។

P.S. វាក៏មានភាពងាយរងគ្រោះដែលពាក់ព័ន្ធដែលត្រូវបានពិពណ៌នានៅក្នុងការបង្ហោះផងដែរ។ LukaSafonov "ភាពងាយរងគ្រោះ Backport នៅក្នុង RouterOS ធ្វើឱ្យឧបករណ៍រាប់រយរាប់ពាន់ប្រឈមនឹងហានិភ័យ".

ប្រភព: www.habr.com