MikroTik에서 RouterOS를 업데이트하세요

10월 XNUMX일 저녁부터 Mail.ru 지원 서비스는 이메일 프로그램을 통해 Mail.ru IMAP/SMTP 서버에 연결할 수 없다는 사용자들의 불만을 접수하기 시작했습니다. 동시에 일부 연결은 통과되지 않았고 일부는 인증서 오류를 표시합니다. 이 오류는 자체 서명된 TLS 인증서를 발급하는 "서버"로 인해 발생합니다.
 

이틀 만에 다양한 네트워크와 다양한 장치를 사용하는 사용자로부터 10건이 넘는 불만 사항이 접수되어 문제가 어느 한 공급자의 네트워크에 있을 가능성은 거의 없습니다. 문제에 대한 보다 자세한 분석을 통해 imap.mail.ru 서버(다른 메일 서버 및 서비스 포함)가 DNS 수준에서 교체되고 있는 것으로 나타났습니다. 또한 사용자의 적극적인 도움으로 우리는 그 이유가 로컬 DNS 확인자이기도 한 라우터 캐시에 잘못된 항목이 있다는 것을 발견했으며 많은 경우(전부는 아니지만) MikroTik으로 밝혀졌습니다. 소규모 기업 네트워크와 소규모 인터넷 제공업체에서 매우 인기 있는 장치입니다.

무엇이 문제인가?

2019년 XNUMX월 연구진은 발견 DNS 캐시 중독 공격을 허용하는 MikroTik RouterOS(CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979)의 여러 취약점. 라우터의 DNS 캐시에서 DNS 레코드를 스푸핑하는 기능과 CVE-2019-3978을 통해 공격자는 확인자 캐시를 오염시키기 위해 내부 네트워크의 누군가가 자신의 DNS 서버에 항목을 요청할 때까지 기다리지 않고 그러한 작업을 시작할 수 있습니다. 포트 8291(UDP 및 TCP)을 통해 직접 요청합니다. 이 취약점은 MikroTik에 의해 6.45.7년 6.44.6월 28일에 RouterOS 2019(안정) 및 XNUMX(장기) 버전에서 수정되었지만, 연구하다 대부분의 사용자는 현재 패치를 설치하지 않았습니다.

이 문제가 현재 "실시간"으로 적극적으로 악용되고 있는 것은 분명합니다.

왜 위험한가요

공격자는 내부 네트워크에서 사용자가 액세스하는 모든 호스트의 DNS 레코드를 스푸핑하여 해당 호스트에 대한 트래픽을 가로챌 수 있습니다. 중요한 정보가 암호화 없이 전송되거나(예: TLS 없이 http://를 통해) 사용자가 가짜 인증서를 수락하는 데 동의하는 경우 공격자는 로그인이나 비밀번호 등 연결을 통해 전송되는 모든 데이터를 얻을 수 있습니다. 불행하게도, 실습에 따르면 사용자가 가짜 인증서를 수락할 기회가 있으면 이를 악용하게 됩니다.

SMTP 및 IMAP 서버가 필요한 이유와 사용자를 저장한 내용

대부분의 사용자가 HTTPS 브라우저를 통해 메일에 액세스하는데도 공격자가 웹 트래픽이 아닌 이메일 애플리케이션의 SMTP/IMAP 트래픽을 가로채려고 시도한 이유는 무엇입니까?

표준에 따르더라도 SMTP 및 IMAP/POP3를 통해 작동하는 모든 이메일 프로그램이 사용자를 오류로부터 보호하는 것은 아니며 보안되지 않거나 손상된 연결을 통해 로그인 및 비밀번호를 보내는 것을 방지합니다. RFC 8314, 2018년에 채택된(그리고 훨씬 이전에 Mail.ru에서 구현됨) 보안되지 않은 연결을 통한 비밀번호 가로채기로부터 사용자를 보호해야 합니다. 또한 OAuth 프로토콜은 이메일 클라이언트에서 거의 사용되지 않으며(Mail.ru 메일 서버에서 지원됨) OAuth 프로토콜이 없으면 로그인 및 비밀번호가 각 세션에서 전송됩니다.

브라우저는 중간자 공격으로부터 좀 더 잘 보호될 수 있습니다. 모든 mail.ru 중요 도메인에서는 HTTPS 외에도 HSTS(HTTP 엄격한 전송 보안) 정책이 활성화됩니다. HSTS를 활성화하면 최신 브라우저는 사용자가 원하더라도 가짜 인증서를 수락할 수 있는 쉬운 옵션을 제공하지 않습니다. HSTS 외에도 2017년부터 Mail.ru의 SMTP, IMAP 및 POP3 서버가 보안되지 않은 연결을 통한 비밀번호 전송을 금지하고 모든 사용자가 SMTP, POP3 및 IMAP을 통한 액세스에 TLS를 사용했다는 사실로 인해 사용자가 저장되었습니다. 따라서 사용자가 스푸핑된 인증서를 수락하는 데 동의한 경우에만 로그인 및 비밀번호를 가로챌 수 있습니다.

모바일 사용자의 경우 항상 Mail.ru 애플리케이션을 사용하여 메일에 액세스하는 것이 좋습니다. 메일 작업은 브라우저나 내장된 SMTP/IMAP 클라이언트보다 안전합니다.

무엇을 해야할까요?

MikroTik RouterOS 펌웨어를 보안 버전으로 업데이트해야 합니다. 어떤 이유로 이것이 가능하지 않은 경우 포트 8291(tcp 및 udp)에서 트래픽을 필터링해야 합니다. 이렇게 하면 DNS 캐시에 대한 수동 주입 가능성이 제거되지는 않지만 문제의 악용이 복잡해집니다. ISP는 기업 사용자를 보호하기 위해 네트워크에서 이 포트를 필터링해야 합니다. 

대체 인증서를 수락한 모든 사용자는 이 인증서가 수락된 이메일 및 기타 서비스의 비밀번호를 긴급하게 변경해야 합니다. 우리는 취약한 장치를 통해 메일에 액세스하는 사용자에게 이를 알립니다.

PS 또한 게시물에 설명된 관련 취약점이 있습니다. 루카사포노프 "RouterOS의 백포트 취약점으로 인해 수십만 대의 장치가 위험에 처해 있습니다.".

출처 : habr.com