IPv6 RA वर प्रक्रिया करताना MikroTik राउटरमधील असुरक्षा कोडची अंमलबजावणी होते

MikroTik राउटरमध्ये वापरल्या जाणार्‍या RouterOS ऑपरेटिंग सिस्टीममध्ये एक गंभीर भेद्यता (CVE-2023-32154) ओळखली गेली आहे, जी एका अनधिकृत वापरकर्त्याला खास तयार केलेली IPv6 राउटर घोषणा (RA, Router Advertisement) पाठवून डिव्हाइसवर दूरस्थपणे कोड कार्यान्वित करू देते.

IPv6 RA (राउटर जाहिरात) विनंत्यांच्या प्रक्रियेसाठी जबाबदार असलेल्या प्रक्रियेत बाहेरून येणाऱ्या डेटाची योग्य पडताळणी न केल्यामुळे ही समस्या उद्भवली आहे, ज्यामुळे वाटप केलेल्या बफरच्या मर्यादेपलीकडे डेटा लिहिणे आणि आपल्या कोडची अंमलबजावणी आयोजित करणे शक्य झाले. मूळ विशेषाधिकारांसह. असुरक्षितता MikroTik RouterOS v6.xx आणि v7.xx शाखांमध्ये प्रकट होते, जेव्हा संदेश प्राप्त करण्यासाठी सेटिंग्जमध्ये IPv6 RA संदेश सक्षम केले जातात ("ipv6/settings/ set accept-router-advertisements=yes" किंवा "ipv6/settings/ सेट फॉरवर्ड=नाही स्वीकार-राउटर -जाहिराती=होय-जर-फॉरवर्डिंग-अक्षम").

सरावातील असुरक्षिततेचे शोषण करण्याची क्षमता टोरंटोमधील Pwn2Own स्पर्धेत प्रदर्शित करण्यात आली, ज्या दरम्यान समस्या ओळखणाऱ्या संशोधकांना मिक्रोटिक राउटरवर हल्ला करून पायाभूत सुविधांच्या मल्टी-स्टेज हॅकिंगसाठी $ 100,000 चे बक्षीस मिळाले. स्थानिक नेटवर्कच्या इतर घटकांवर हल्ला करण्यासाठी स्प्रिंगबोर्ड म्हणून (यानंतर हल्ल्याने कॅनन प्रिंटरचा ताबा घेतला, जिथे असुरक्षितता देखील उघड केली गेली).

भेद्यतेबद्दलची माहिती मूळतः निर्मात्याद्वारे पॅच व्युत्पन्न होण्यापूर्वी प्रकाशित करण्यात आली होती (0-दिवस), परंतु RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 मधील अद्यतने असुरक्षा निश्चित करून आधीच प्रकाशित केली गेली आहेत. Pwn2Own स्पर्धा असलेल्या ZDI (झिरो डे इनिशिएटिव्ह) प्रकल्पाच्या माहितीनुसार, निर्मात्याला 29 डिसेंबर 2022 रोजी असुरक्षिततेबद्दल सूचित केले गेले. MikroTik चे प्रतिनिधी दावा करतात की त्यांना सूचना प्राप्त झाली नाही आणि 10 मे रोजी माहिती उघड करण्याबद्दल अंतिम चेतावणी पाठवल्यानंतरच त्यांना समस्येबद्दल माहिती मिळाली. याव्यतिरिक्त, असुरक्षितता अहवालात असे नमूद केले आहे की टोरंटोमधील Pwn2Own स्पर्धेदरम्यान MikroTik प्रतिनिधीला वैयक्तिकरित्या समस्येच्या स्वरूपाविषयी माहिती प्रसारित करण्यात आली होती, परंतु MikroTik नुसार, कंपनीच्या कर्मचार्‍यांनी कोणत्याही क्षमतेने कार्यक्रमात भाग घेतला नाही.

स्त्रोत: opennet.ru