No sistema operacional RouterOS, utilizado em roteadores MikroTik, foi identificada uma vulnerabilidade crítica (CVE-2023-32154), que permite a um usuário não autenticado executar código remotamente no dispositivo ao enviar um anúncio de roteador IPv6 especialmente formatado (RA, Router Advertisement).
O problema foi causado pela ausência de verificação adequada dos dados recebidos externamente no processo responsável pelo tratamento de solicitações IPv6 RA (Router Advertisement), o que permitiu que dados fossem gravados além da memória alocada e possibilitou a execução de código com privilégios de root. A vulnerabilidade se manifesta nas versões MikroTik RouterOS v6.xx e v7.xx, quando a aceitação de mensagens IPv6 RA está ativada nas configurações (‘ipv6/settings/set accept-router-advertisements=yes’ ou ‘ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled’).
A possibilidade de exploração da vulnerabilidade na prática foi demonstrada em competições Pwn2Own em Toronto, onde os pesquisadores que identificaram o problema receberam uma recompensa de $100.000 por um ataque em várias etapas na infraestrutura, atacando o roteador Mikrotik e utilizando-o como plataforma para atacar outros componentes da rede local (posteriormente, os atacantes obtiveram controle sobre uma impressora Canon, cujas vulnerabilidades também foram reveladas).
As informações sobre a vulnerabilidade foram inicialmente publicadas antes que o fabricante liberasse uma correção (0-day), mas atualmente já estão disponíveis as atualizações RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 que corrigem a vulnerabilidade. De acordo com informações do projeto ZDI (Zero Day Initiative), que organiza as competições Pwn2Own, o fabricante foi informado sobre a vulnerabilidade em 29 de dezembro de 2022. Representantes da MikroTik afirmam que não receberam notificações e só souberam do problema em 10 de maio, após o envio do aviso final sobre a divulgação. Além disso, o relatório sobre a vulnerabilidade menciona que informações sobre a natureza do problema foram repassadas a um representante da MikroTik em particular durante a realização das competições Pwn2Own em Toronto, mas segundo a MikroTik, os funcionários da empresa não participaram do evento de nenhuma forma.
Fonte: opennet.ru
