In het besturingssysteem RouterOS, dat wordt gebruikt in MikroTik-routers, is een kritieke kwetsbaarheid ontdekt (CVE-2023-32154) die een niet-geauthenticeerde gebruiker in staat stelt op afstand code op het apparaat uit te voeren door het verzenden van een speciaal opgemaakte routeradvertentie voor IPv6 (RA, Router Advertisement).
Het probleem wordt veroorzaakt door het ontbreken van juiste controles op binnenkomende gegevens tijdens het proces dat verantwoordelijk is voor het verwerken van IPv6 RA (Router Advertisement) verzoeken, waardoor het mogelijk is om gegevens buiten de toegewezen buffer te schrijven en eigen code met root-privileges te laten uitvoeren. De kwetsbaarheid doet zich voor in de takken van MikroTik RouterOS v6.xx en v7.xx, wanneer de instellingen voor het ontvangen van IPv6 RA-berichten zijn ingeschakeld (‘ipv6/settings/set accept-router-advertisements=yes’ of ‘ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled’).
De mogelijkheid om de kwetsbaarheid in de praktijk te exploiteren werd gedemonstreerd tijdens de Pwn2Own-competitie in Toronto, waar de onderzoekers die het probleem ontdekten een beloning van $100.000 ontvingen voor een meervoudige hack van de infrastructuur met een aanval op de MikroTik-router en deze gebruikten als springplank voor de aanval op andere componenten van het lokale netwerk (daarna kregen de aanvallers controle over een Canon-printer, waarvan ook de kwetsbaarheid is onthuld).
Informatie over de kwetsbaarheid werd aanvankelijk gepubliceerd vóór het ontwikkelen van een patch door de fabrikant (0-day), maar er zijn inmiddels updates gepubliceerd voor RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 waarin de kwetsbaarheid is verholpen. Volgens informatie van het ZDI-project (Zero Day Initiative), dat de Pwn2Own-competitie organiseert, werd de fabrikant op 29 december 2022 op de kwetsbaarheid gewezen. Vertegenwoordigers van MikroTik beweren dat ze niet van de kwetsbaarheid op de hoogte waren en pas op 10 mei te weten kwamen over het probleem, na het versturen van de laatste waarschuwing over openbaarmaking. Bovendien wordt in het kwetsbaarheidsrapport vermeld dat informatie over de aard van het probleem in persoon aan een vertegenwoordiger van MikroTik is overhandigd tijdens de Pwn2Own-competitie in Toronto, maar volgens MikroTik hebben werknemers van het bedrijf op geen enkele manier deelgenomen aan het evenement.
Bron: opennet.ru
