{"id":74131,"date":"2020-03-14T14:42:14","date_gmt":"2020-03-14T11:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik"},"modified":"2020-03-14T14:42:14","modified_gmt":"2020-03-14T11:42:14","slug":"obnovite-routeros-na-vashem-mikrotik","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","title":{"rendered":"Zaktualizuj RouterOS na swoim MikroTik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Zaktualizuj
\nW wiecz\u00f3r 10 marca zesp\u00f3\u0142 wsparcia technicznego Mail.ru zacz\u0105\u0142 otrzymywa\u0107 skargi od u\u017cytkownik\u00f3w dotycz\u0105ce niemo\u017cno\u015bci po\u0142\u0105czenia si\u0119 z serwerami IMAP\/SMTP Mail.ru za pomoc\u0105 program\u00f3w pocztowych. Cz\u0119\u015b\u0107 po\u0142\u0105cze\u0144 nie by\u0142a nawi\u0105zywana, a cz\u0119\u015b\u0107 pokazywa\u0142a b\u0142\u0105d certyfikatu. B\u0142\u0105d ten jest spowodowany tym, \u017ce \"serwer\" zwraca samopodpisany certyfikat TLS.
\n<\/a><\/noindex>\u00a0
\n\"Zaktualizuj
\nW ci\u0105gu dw\u00f3ch dni wp\u0142yn\u0119\u0142o ponad 10 skarg od u\u017cytkownik\u00f3w z r\u00f3\u017cnych sieci i na r\u00f3\u017cnych urz\u0105dzeniach, co czyni\u0142o ma\u0142o prawdopodobnym, \u017ce problem dotyczy jednego dostawcy. Bardziej szczeg\u00f3\u0142owa analiza problemu ujawni\u0142a, \u017ce nast\u0119puje zmiana serwera imap.mail.ru (oraz innych serwer\u00f3w pocztowych i us\u0142ug) na poziomie DNS. Nast\u0119pnie, przy aktywnej pomocy naszych u\u017cytkownik\u00f3w, odkryli\u015bmy, \u017ce przyczyn\u0105 jest b\u0142\u0119dny wpis w pami\u0119ci podr\u0119cznej ich routera, kt\u00f3ry jednocze\u015bnie pe\u0142ni rol\u0119 lokalnego resolvera DNS, a w wielu (ale nie wszystkich) przypadkach by\u0142 to router MikroTik, bardzo popularny w ma\u0142ych sieciach korporacyjnych i u ma\u0142ych dostawc\u00f3w Internetu.<\/p>\n

W czym problem<\/h2>\n

\nW wrze\u015bniu 2019 roku badacze odkryli <\/a><\/noindex>kilka luk w MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), kt\u00f3re umo\u017cliwia\u0142y przeprowadzanie ataku DNS cache poisoning, tj. mo\u017cliwo\u015b\u0107 zmiany wpis\u00f3w DNS w pami\u0119ci podr\u0119cznej routera, przy czym CVE-2019-3978 pozwala atakuj\u0105cemu na nieczekanie, a\u017c kto\u015b z sieci wewn\u0119trznej zwr\u00f3ci si\u0119 z zapytaniem do jego serwera DNS, aby zatruli pami\u0119\u0107 podr\u0119czn\u0105 resolvera, a zamiast tego samemu zainicjowa\u0107 takie zapytanie przez port 8291 (UDP i TCP). Luka zosta\u0142a za\u0142atana przez MikroTik w wersjach RouterOS 6.45.7 (stable) i 6.44.6 (long-term) 28 pa\u017adziernika 2019, jednak wed\u0142ug bada\u0144 <\/a><\/noindex>wi\u0119kszo\u015b\u0107 u\u017cytkownik\u00f3w obecnie nie zainstalowa\u0142a poprawek.<\/p>\n

Jest oczywiste, \u017ce obecnie problem ten jest aktywnie wykorzystywany \"w rzeczywisto\u015bci\".<\/p>\n

Jakie s\u0105 tego konsekwencje<\/h2>\n

\nAtakuj\u0105cy mo\u017ce podmieni\u0107 wpis DNS dowolnego hosta, do kt\u00f3rego u\u017cytkownik wewn\u0119trznej sieci si\u0119 zwraca, przejmuj\u0105c tym samym ruch do niego. Je\u015bli przesy\u0142ane s\u0105 dane wra\u017cliwe bez szyfrowania (np. po http:\/\/ bez TLS) lub u\u017cytkownik zgadza si\u0119 na przyj\u0119cie fa\u0142szywego certyfikatu, atakuj\u0105cy mo\u017ce uzyska\u0107 wszystkie dane, kt\u00f3re zostaj\u0105 przes\u0142ane przez po\u0142\u0105czenie, takie jak login lub has\u0142o. Niestety, praktyka pokazuje, \u017ce je\u015bli u\u017cytkownik ma mo\u017cliwo\u015b\u0107 zaakceptowania fa\u0142szywego certyfikatu, to z niej skorzysta.<\/p>\n

Dlaczego serwery SMTP i IMAP s\u0105 tak istotne i co chroni\u0142o u\u017cytkownik\u00f3w<\/h2>\n

\nDlaczego atakuj\u0105cy pr\u00f3bowali przechwyci\u0107 ruch SMTP\/IMAP aplikacji pocztowych, a nie ruch w sieci, mimo \u017ce wi\u0119kszo\u015b\u0107 u\u017cytkownik\u00f3w korzysta z poczty przez przegl\u0105dark\u0119 z HTTPS?<\/p>\n

Nie wszystkie programy pocztowe dzia\u0142aj\u0105ce na zasadzie SMTP i IMAP\/POP3 zabezpieczaj\u0105 u\u017cytkownik\u00f3w przed b\u0142\u0119dami, zezwalaj\u0105c na przesy\u0142anie loginu i has\u0142a przez niezabezpieczone lub skompromitowane po\u0142\u0105czenie, chocia\u017c zgodnie z norm\u0105 RFC 8314<\/a><\/noindex>, przyj\u0119t\u0105 ju\u017c w 2018 roku (wdro\u017con\u0105 w Mail.ru znacznie wcze\u015bniej), powinny chroni\u0107 u\u017cytkownika przed przechwyceniem has\u0142a przez jakiekolwiek niezabezpieczone po\u0142\u0105czenie. Ponadto, do tej pory w programach pocztowych bardzo rzadko wykorzystywany jest protok\u00f3\u0142 OAuth (jest on wspierany przez serwery pocztowe Mail.ru), a bez niego login i has\u0142o przesy\u0142ane s\u0105 w ka\u017cdym sesji.<\/p>\n

Przegl\u0105darki mog\u0105 by\u0107 nieco lepiej zabezpieczone przed atakami typu Man-in-the-Middle. Na wszystkich krytycznych domenach mail.ru dodatkowo do HTTPS w\u0142\u0105czona jest polityka HSTS (HTTP Strict Transport Security). Przy w\u0142\u0105czonym HSTS nowoczesna przegl\u0105darka nie daje u\u017cytkownikowi prostej mo\u017cliwo\u015bci zaakceptowania fa\u0142szywego certyfikatu, nawet je\u015bli u\u017cytkownik by tego chcia\u0142. Opr\u00f3cz HSTS, u\u017cytkownicy byli chronieni tym, \u017ce od 2017 roku serwery SMTP, IMAP i POP3 Mail.ru zabraniaj\u0105 przesy\u0142ania has\u0142a przez niezabezpieczone po\u0142\u0105czenie, wszyscy nasi u\u017cytkownicy korzystali z TLS do dost\u0119pu przez SMTP, POP3 i IMAP, a zatem login i has\u0142o mo\u017cna przechwyci\u0107 tylko, je\u015bli u\u017cytkownik sam zgodzi si\u0119 zaakceptowa\u0107 podmieniony certyfikat.<\/p>\n

Dla u\u017cytkownik\u00f3w mobilnych zawsze zalecamy korzystanie z aplikacji Mail.ru do dost\u0119pu do poczty, poniewa\u017c praca z poczt\u0105 w nich jest bezpieczniejsza ni\u017c w przegl\u0105darkach czy wbudowanych klientach SMTP\/IMAP.<\/p>\n

Co nale\u017cy zrobi\u0107<\/h2>\n

\nNale\u017cy zaktualizowa\u0107 oprogramowanie MikroTik RouterOS do bezpiecznej wersji. Je\u015bli z jaki\u015b powod\u00f3w to niemo\u017cliwe, konieczne jest filtrowanie ruchu przez port 8291 (tcp i udp), co utrudni eksploatacj\u0119 problemu, chocia\u017c nie wyeliminuje mo\u017cliwo\u015bci pasywnej iniekcji do pami\u0119ci podr\u0119cznej DNS. Dostawcy Internetu powinni filtrowa\u0107 ten port w swoich sieciach, aby chroni\u0107 u\u017cytkownik\u00f3w korporacyjnych.\u00a0<\/p>\n

Wszyscy u\u017cytkownicy, kt\u00f3rzy zaakceptowali podrobiony certyfikat, powinni pilnie zmieni\u0107 has\u0142o do poczty elektronicznej i innych us\u0142ug, dla kt\u00f3rych ten certyfikat zosta\u0142 zaakceptowany. Z naszej strony powiadomimy u\u017cytkownik\u00f3w, kt\u00f3rzy loguj\u0105 si\u0119 do poczty za pomoc\u0105 podatnych urz\u0105dze\u0144.<\/p>\n

P.S. Jest jeszcze powi\u0105zana podatno\u015b\u0107 opisana w po\u015bcie LukaSafonov<\/a><\/noindex> \u201eBackport podatno\u015b\u0107 w RouterOS zagra\u017ca setkom tysi\u0119cy urz\u0105dze\u0144.<\/a><\/noindex>.
\n
\u0179r\u00f3d\u0142o: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0436\u0430\u043b\u043e\u0431\u044b \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a IMAP\/SMTP \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c Mail.ru \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0432 \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b\u0430, \u0430 \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u0442\u0435\u043c, \u0447\u0442\u043e \u00ab\u0441\u0435\u0440\u0432\u0435\u0440\u00bb \u043e\u0442\u0434\u0430\u0435\u0442 \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 TLS. \u00a0 \u0417\u0430 \u0434\u0432\u0430 \u0434\u043d\u044f \u043f\u0440\u0438\u0448\u043b\u043e \u0431\u043e\u043b\u0435\u0435 10 \u0436\u0430\u043b\u043e\u0431 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":74132,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-74131","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zaktualizuj RouterOS w swoim MikroTik | ProHoster","description":"Wieczorem 10 marca dzia\u0142 wsparcia Mail.ru rozpocz\u0105\u0142.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u0435 RouterOS \u043d\u0430 \u0432\u0430\u0448\u0435\u043c MikroTik | ProHoster","og:description":"\u0412\u0435\u0447\u0435\u0440\u043e\u043c 10 \u043c\u0430\u0440\u0442\u0430 \u0441\u043b\u0443\u0436\u0431\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Mail.ru \u043d\u0430\u0447\u0430\u043b\u0430.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/obnovite-routeros-na-vashem-mikrotik","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-14T11:42:14+00:00","article:modified_time":"2020-03-14T11:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"74131","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:20:27","updated":"2022-09-30 20:30:09","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/74131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=74131"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/74131\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/74132"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=74131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=74131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=74131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}