നിങ്ങളുടെ MikroTik-ൽ RouterOS അപ്‌ഡേറ്റ് ചെയ്യുക

മാർച്ച് 10 ന് വൈകുന്നേരം, ഇമെയിൽ പ്രോഗ്രാമുകളിലൂടെ Mail.ru IMAP/SMTP സെർവറുകളിലേക്ക് കണക്റ്റുചെയ്യാനുള്ള കഴിവില്ലായ്മയെക്കുറിച്ച് Mail.ru പിന്തുണാ സേവനത്തിന് ഉപയോക്താക്കളിൽ നിന്ന് പരാതികൾ ലഭിച്ചുതുടങ്ങി. അതേ സമയം, ചില കണക്ഷനുകൾ കടന്നു പോയില്ല, ചിലത് സർട്ടിഫിക്കറ്റ് പിശക് കാണിക്കുന്നു. "സെർവർ" സ്വയം ഒപ്പിട്ട TLS സർട്ടിഫിക്കറ്റ് നൽകിയതാണ് പിശകിന് കാരണം.
 

രണ്ട് ദിവസത്തിനുള്ളിൽ, വൈവിധ്യമാർന്ന നെറ്റ്‌വർക്കുകളിലും വിവിധ ഉപകരണങ്ങളിലുമുള്ള ഉപയോക്താക്കളിൽ നിന്ന് 10-ലധികം പരാതികൾ വന്നു, പ്രശ്നം ഏതെങ്കിലും ഒരു ദാതാവിന്റെ നെറ്റ്‌വർക്കിലായിരിക്കാൻ സാധ്യതയില്ല. പ്രശ്നത്തിന്റെ കൂടുതൽ വിശദമായ വിശകലനം, imap.mail.ru സെർവർ (അതുപോലെ മറ്റ് മെയിൽ സെർവറുകളും സേവനങ്ങളും) DNS തലത്തിൽ മാറ്റിസ്ഥാപിക്കുന്നതായി വെളിപ്പെടുത്തി. കൂടാതെ, ഞങ്ങളുടെ ഉപയോക്താക്കളുടെ സജീവമായ സഹായത്തോടെ, കാരണം അവരുടെ റൂട്ടറിന്റെ കാഷെയിലെ തെറ്റായ എൻട്രിയാണെന്ന് ഞങ്ങൾ കണ്ടെത്തി, അത് ഒരു പ്രാദേശിക DNS റിസോൾവർ കൂടിയാണ്, കൂടാതെ മിക്ക കേസുകളിലും (എല്ലാം അല്ല) MikroTik ആയി മാറിയിരിക്കുന്നു. ചെറിയ കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കുകളിലും ചെറിയ ഇന്റർനെറ്റ് ദാതാക്കളിൽ നിന്നും വളരെ ജനപ്രിയമായ ഉപകരണം.

എന്താണ് പ്രശ്നം

2019 സെപ്റ്റംബറിൽ ഗവേഷകർ കണ്ടെത്തി MikroTik RouterOS-ൽ (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979) നിരവധി കേടുപാടുകൾ, ഇത് DNS കാഷെ വിഷബാധ ആക്രമണം അനുവദിച്ചു, അതായത്. റൂട്ടറിന്റെ DNS കാഷെയിലെ DNS റെക്കോർഡുകൾ കബളിപ്പിക്കാനുള്ള കഴിവ്, കൂടാതെ CVE-2019-3978, റിസോൾവർ കാഷെ വിഷലിപ്തമാക്കുന്നതിനായി തന്റെ DNS സെർവറിൽ ഒരു എൻട്രി അഭ്യർത്ഥിക്കുന്നതിനായി ആന്തരിക നെറ്റ്‌വർക്കിൽ നിന്നുള്ള ആരെങ്കിലും കാത്തിരിക്കാതിരിക്കാൻ ആക്രമണകാരിയെ അനുവദിക്കുന്നു, പക്ഷേ അത്തരം പ്രവർത്തനങ്ങൾ ആരംഭിക്കാൻ പോർട്ട് 8291 (UDP, TCP) വഴി സ്വയം ഒരു അഭ്യർത്ഥന. RouterOS 6.45.7 (സ്ഥിരമായത്), 6.44.6 (ദീർഘകാല) പതിപ്പുകളിൽ 28 ഒക്ടോബർ 2019-ന് MikroTik ഈ അപകടസാധ്യത പരിഹരിച്ചു, എന്നാൽ അതനുസരിച്ച് исследованиyam മിക്ക ഉപയോക്താക്കളും നിലവിൽ പാച്ചുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ല.

വ്യക്തമായും, ഈ പ്രശ്നം ഇപ്പോൾ "തത്സമയ" സജീവമായി ചൂഷണം ചെയ്യപ്പെടുന്നു.

എന്തുകൊണ്ട് അത് അപകടകരമാണ്?

ആന്തരിക നെറ്റ്‌വർക്കിൽ ഒരു ഉപയോക്താവ് ആക്‌സസ് ചെയ്‌ത ഏതൊരു ഹോസ്റ്റിന്റെയും DNS റെക്കോർഡ് ഒരു ആക്രമണകാരിക്ക് കബളിപ്പിക്കാനാകും, അതുവഴി അതിലേക്കുള്ള ട്രാഫിക് തടസ്സപ്പെടുത്താം. തന്ത്രപ്രധാനമായ വിവരങ്ങൾ എൻക്രിപ്ഷൻ ഇല്ലാതെ കൈമാറുകയാണെങ്കിൽ (ഉദാഹരണത്തിന്, TLS ഇല്ലാതെ http:// വഴി) അല്ലെങ്കിൽ ഒരു വ്യാജ സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കാൻ ഉപയോക്താവ് സമ്മതിക്കുകയാണെങ്കിൽ, ആക്രമണകാരിക്ക് ഒരു ലോഗിൻ അല്ലെങ്കിൽ പാസ്‌വേഡ് പോലുള്ള കണക്ഷനിലൂടെ അയയ്‌ക്കുന്ന എല്ലാ ഡാറ്റയും നേടാനാകും. നിർഭാഗ്യവശാൽ, ഒരു ഉപയോക്താവിന് വ്യാജ സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കാൻ അവസരമുണ്ടെങ്കിൽ, അവൻ അത് പ്രയോജനപ്പെടുത്തുമെന്ന് പ്രാക്ടീസ് കാണിക്കുന്നു.

എന്തുകൊണ്ട് SMTP, IMAP സെർവറുകൾ, എന്താണ് ഉപയോക്താക്കളെ സംരക്ഷിച്ചത്

മിക്ക ഉപയോക്താക്കളും HTTPS ബ്രൗസർ വഴി അവരുടെ മെയിൽ ആക്‌സസ് ചെയ്യുന്നുണ്ടെങ്കിലും, വെബ് ട്രാഫിക്കല്ല, ഇമെയിൽ ആപ്ലിക്കേഷനുകളുടെ SMTP/IMAP ട്രാഫിക് തടസ്സപ്പെടുത്താൻ ആക്രമണകാരികൾ ശ്രമിച്ചത് എന്തുകൊണ്ട്?

SMTP, IMAP/POP3 എന്നിവ വഴി പ്രവർത്തിക്കുന്ന എല്ലാ ഇമെയിൽ പ്രോഗ്രാമുകളും ഉപയോക്താവിനെ പിശകുകളിൽ നിന്ന് സംരക്ഷിക്കുന്നില്ല, സ്റ്റാൻഡേർഡ് അനുസരിച്ച് സുരക്ഷിതമല്ലാത്തതോ വിട്ടുവീഴ്ച ചെയ്യാത്തതോ ആയ കണക്ഷനിലൂടെ ലോഗിൻ, പാസ്‌വേഡ് അയയ്‌ക്കുന്നതിൽ നിന്ന് അവനെ തടയുന്നു. RFC 8314, 2018-ൽ വീണ്ടും സ്വീകരിച്ചു (കൂടാതെ Mail.ru-ൽ വളരെ നേരത്തെ തന്നെ നടപ്പിലാക്കി), സുരക്ഷിതമല്ലാത്ത ഏതെങ്കിലും കണക്ഷനിലൂടെ പാസ്‌വേഡ് തടസ്സപ്പെടുത്തുന്നതിൽ നിന്ന് അവർ ഉപയോക്താവിനെ സംരക്ഷിക്കണം. കൂടാതെ, OAuth പ്രോട്ടോക്കോൾ ഇമെയിൽ ക്ലയന്റുകളിൽ വളരെ അപൂർവമായി മാത്രമേ ഉപയോഗിക്കാറുള്ളൂ (ഇത് Mail.ru മെയിൽ സെർവറുകൾ പിന്തുണയ്ക്കുന്നു), കൂടാതെ ഇത് കൂടാതെ, ഓരോ സെഷനിലും ലോഗിൻ, പാസ്വേഡ് എന്നിവ കൈമാറുന്നു.

മാൻ-ഇൻ-ദി-മിഡിൽ ആക്രമണങ്ങളിൽ നിന്ന് ബ്രൗസറുകൾ കുറച്ചുകൂടി നന്നായി സംരക്ഷിക്കപ്പെട്ടേക്കാം. എല്ലാ mail.ru നിർണായക ഡൊമെയ്‌നുകളിലും, HTTPS-ന് പുറമേ, HSTS (HTTP കർശനമായ ഗതാഗത സുരക്ഷ) നയം പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു. എച്ച്എസ്ടിഎസ് പ്രവർത്തനക്ഷമമാക്കിയാൽ, ഒരു ആധുനിക ബ്രൗസർ ഉപയോക്താവിന് വ്യാജ സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കാൻ എളുപ്പമുള്ള ഓപ്ഷൻ നൽകുന്നില്ല, ഉപയോക്താവിന് താൽപ്പര്യമുണ്ടെങ്കിൽ പോലും. HSTS-ന് പുറമേ, 2017 മുതൽ, Mail.ru-ന്റെ SMTP, IMAP, POP3 സെർവറുകൾ സുരക്ഷിതമല്ലാത്ത കണക്ഷനിലൂടെ പാസ്‌വേഡുകൾ കൈമാറുന്നത് നിരോധിക്കുന്നു, ഞങ്ങളുടെ എല്ലാ ഉപയോക്താക്കളും SMTP, POP3, IMAP എന്നിവയിലൂടെ ആക്‌സസ് ചെയ്യുന്നതിന് TLS ഉപയോഗിച്ചു, കൂടാതെ അതിനാൽ വ്യാജ സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കാൻ ഉപയോക്താവ് തന്നെ സമ്മതിച്ചാൽ മാത്രമേ ലോഗിൻ, പാസ്‌വേഡ് എന്നിവ തടസ്സപ്പെടുത്താൻ കഴിയൂ.

മൊബൈൽ ഉപയോക്താക്കൾക്ക്, മെയിൽ ആക്സസ് ചെയ്യാൻ Mail.ru ആപ്ലിക്കേഷനുകൾ ഉപയോഗിക്കാൻ ഞങ്ങൾ എപ്പോഴും ശുപാർശ ചെയ്യുന്നു, കാരണം... ബ്രൗസറുകളിലോ ബിൽറ്റ്-ഇൻ SMTP/IMAP ക്ലയന്റുകളിലോ ഉള്ളതിനേക്കാൾ സുരക്ഷിതമാണ് അവയിൽ മെയിലിൽ പ്രവർത്തിക്കുന്നത്.

എന്തു ചെയ്യണം

MikroTik RouterOS ഫേംവെയർ ഒരു സുരക്ഷിത പതിപ്പിലേക്ക് അപ്ഡേറ്റ് ചെയ്യേണ്ടത് ആവശ്യമാണ്. ചില കാരണങ്ങളാൽ ഇത് സാധ്യമല്ലെങ്കിൽ, പോർട്ട് 8291 (tcp, udp)-ൽ ട്രാഫിക് ഫിൽട്ടർ ചെയ്യേണ്ടത് ആവശ്യമാണ്, ഇത് പ്രശ്നത്തിന്റെ ചൂഷണത്തെ സങ്കീർണ്ണമാക്കും, എന്നിരുന്നാലും ഇത് DNS കാഷെയിലേക്ക് നിഷ്ക്രിയ കുത്തിവയ്പ്പിനുള്ള സാധ്യത ഇല്ലാതാക്കില്ല. കോർപ്പറേറ്റ് ഉപയോക്താക്കളെ സംരക്ഷിക്കാൻ ISP-കൾ അവരുടെ നെറ്റ്‌വർക്കുകളിൽ ഈ പോർട്ട് ഫിൽട്ടർ ചെയ്യണം. 

പകരമുള്ള സർട്ടിഫിക്കറ്റ് സ്വീകരിച്ച എല്ലാ ഉപയോക്താക്കളും ഈ സർട്ടിഫിക്കറ്റ് സ്വീകരിച്ച ഇമെയിലിനും മറ്റ് സേവനങ്ങൾക്കുമുള്ള പാസ്‌വേഡ് അടിയന്തിരമായി മാറ്റണം. ഞങ്ങളുടെ ഭാഗത്ത്, ദുർബലമായ ഉപകരണങ്ങളിലൂടെ മെയിൽ ആക്സസ് ചെയ്യുന്ന ഉപയോക്താക്കളെ ഞങ്ങൾ അറിയിക്കും.

PS പോസ്റ്റിൽ വിവരിച്ചിരിക്കുന്ന അനുബന്ധമായ ഒരു അപകടസാധ്യതയും ഉണ്ട് ലൂക്കാസഫോനോവ് "RouterOS-ലെ ബാക്ക്‌പോർട്ട് ദുർബലത ലക്ഷക്കണക്കിന് ഉപകരണങ്ങളെ അപകടത്തിലാക്കുന്നു".

അവലംബം: www.habr.com