Fa'afou le RouterOS i lau MikroTik

I le afiafi o Mati 10, na amata ai ona maua e le auʻaunaga lagolago a Mail.ru faitioga mai tagata faʻaoga e uiga i le le mafai ona faʻafesoʻotaʻi i Mail.ru IMAP/SMTP servers e ala i polokalame imeli. I le taimi lava e tasi, o nisi o fesoʻotaʻiga e leʻi faʻaogaina, ma o nisi o loʻo faʻaalia se sese o le tusi faamaonia. O le mea sese e mafua mai i le "server" o loʻo tuʻuina atu se tusi faamaonia TLS na sainia e le tagata lava ia.
 

I luga o le lua aso, e sili atu i le 10 faʻasea na oʻo mai i tagata faʻaoga i luga o le tele o fesoʻotaʻiga eseese ma faʻatasi ai ma masini eseese, ma faʻapea o le faʻafitauli o loʻo i totonu o fesoʻotaʻiga a soʻo se tasi e tuʻuina atu. O se auiliiliga auiliili o le faʻafitauli na faʻaalia ai o le imap.mail.ru server (faʻapea foʻi ma isi meli meli ma auaunaga) o loʻo suia i le DNS level. E le gata i lea, faatasi ai ma le fesoasoani malosi a matou tagata faʻaoga, na matou iloa ai o le mafuaʻaga o le le saʻo o le ulufale i totonu o le faʻaoga o latou alalaupapa, o se DNS foi i le lotoifale, ma i le tele (ae le o mea uma) na avea ma MikroTik. masini, e sili ona ta'uta'ua i feso'ota'iga fa'apisinisi laiti ma mai kamupani laiti Initaneti.

O le a le faafitauli

Ia Setema 2019, tagata suʻesuʻe maua le tele o faʻafitauli i MikroTik RouterOS (CVE-2019-3976, CVE-2019-3977, CVE-2019-3978, CVE-2019-3979), lea na faʻatagaina ai se osofaʻiga oona DNS cache, i.e. le mafai ona faʻaleaga faʻamaumauga DNS i le DNS cache a le router, ma le CVE-2019-3978 e mafai ai e le tagata osofaʻi ona le faʻatali mo se tasi mai le fesoʻotaʻiga i totonu e talosagaina se faʻamatalaga i luga o lana DNS server ina ia faʻaona ai le cache solver, ae ia amata se talosaga ia te ia lava e ala i le taulaga 8291 (UDP ma TCP). O le faʻafitauli na faʻamautu e MikroTik i faʻaliliuga o RouterOS 6.45.7 (stable) ma le 6.44.6 (umi-umi) ia Oketopa 28, 2019, ae tusa ai ma su'esu'ega O le tele o tagata fa'aoga latou te le'i fa'apipi'iina ni patch i le taimi nei.

E manino lava o lenei faʻafitauli o loʻo faʻaaogaina ma le "ola".

Aisea e matautia ai?

E mafai e se tagata osofa'i ona fa'asese le fa'amaumauga DNS o so'o se 'au e fa'aogaina e se tagata fa'aoga i luga ole feso'ota'iga i totonu, ma fa'alavelaveina ai feoaiga i ai. Afai e tuʻuina atu faʻamatalaga maʻaleʻale e aunoa ma se faʻailoga (mo se faʻataʻitaʻiga, i luga o le http:// e aunoa ma le TLS) pe malie le tagata faʻaoga e talia se tusi faamaonia pepelo, e mafai e le tagata osofaʻi ona maua uma faʻamatalaga na lafoina e ala i le fesoʻotaʻiga, e pei o se saini poʻo se faʻaupuga. Ae paga lea, o faʻataʻitaʻiga e faʻaalia afai e maua e se tagata faʻaoga le avanoa e talia ai se tusi faamaonia pepelo, o le a ia faʻaaogaina.

Aisea SMTP ma IMAP servers, ma mea na faasaoina tagata faʻaoga

Aisea na taumafai ai le au osofaʻi e faʻalavelave le SMTP / IMAP fefaʻatauaʻiga o talosaga imeli, ae le o fefaʻatauaʻiga i luga ole laiga, e ui o le tele o tagata faʻaoga e maua a latou meli e ala ile HTTPS browser?

E le o polokalame imeli uma o loʻo galue e ala i le SMTP ma IMAP / POP3 puipuia le tagata faʻaoga mai mea sese, e taofia ai o ia mai le tuʻuina atu o le saini ma le faʻaupuga e ala i se fesoʻotaʻiga le faʻamaonia pe faʻafefeteina, e ui lava e tusa ai ma le tulaga masani. RFC 8314, toe faʻaaogaina i le 2018 (ma faʻatinoina i Mail.ru i se taimi muamua atu), e tatau ona latou puipuia le tagata faʻaoga mai le faʻaogaina o upu faʻamaonia e ala i soʻo se fesoʻotaʻiga le faʻamaonia. E le gata i lea, o le OAuth protocol e seasea faʻaaogaina i imeli (e lagolagoina e Mail.ru mail servers), ma a aunoa ma lea, o le saini ma le upega tafaʻilagi e lafoina i vasega taʻitasi.

Atonu e sili atu le puipuia o su'esu'ega mai osofa'iga a Man-in-the-Middle. I luga ole mail.ru vaega taua, faʻaopoopo i le HTTPS, o le HSTS (HTTP strict transport security) e mafai ona faʻaogaina. Faatasi ai ma le HSTS ua mafai, o se suʻesuʻega faʻaonaponei e le tuʻuina atu i le tagata faʻaoga se filifiliga faigofie e talia se tusi faamaonia pepelo, e tusa lava pe manaʻo le tagata faʻaoga. I le faaopoopo atu i le HSTS, na faʻaolaina tagata faʻaoga i le mea moni e faapea talu mai le 2017, SMTP, IMAP ma POP3 servers o Mail.ru faʻasaina le fesiitaiga o faʻaupuga i luga o se fesoʻotaʻiga le malupuipuia, o matou tagata faʻaoga uma na faʻaaogaina TLS mo avanoa e ala i SMTP, POP3 ma IMAP, ma o le mea lea e mafai ai e le saini ma le uputatala ona vavao pe afai e malie le tagata e talia le tusi faamaonia pepelo.

Mo tagata faʻaoga feaveaʻi, matou te fautuaina i taimi uma le faʻaaogaina o Mail.ru talosaga e maua ai meli, aua... o le galue i meli i totonu e sili atu le saogalemu nai lo su'esu'ega po'o fa'atau a le SMTP/IMAP.

O le a le mea e tatau ona fai

E manaʻomia le faʻafouina o le firmware MikroTik RouterOS i se faʻamaumauga malupuipuia. Afai mo nisi mafuaʻaga e le mafai, e tatau ona faʻamama le fefaʻatauaiga i luga o le taulaga 8291 (tcp ma udp), o le a faʻalavelaveina le faʻaogaina o le faʻafitauli, e ui lava o le a le faʻaumatia ai le avanoa o le tui pasi i le DNS cache. E tatau ona fa'amama e ISP lenei uafu i luga oa latou feso'otaiga e puipuia ai tagata fa'aoga pisinisi. 

O tagata fa'aoga uma na talia se tusi faamaonia e suitulaga e tatau ona suia fa'anatinati le fa'aupuga mo imeli ma isi auaunaga na talia ai lenei tusi pasi. Mo la matou vaega, matou te logoina tagata faʻaoga e maua le meli e ala i masini vaivai.

PS O loʻo iai foʻi se faʻafitauli faʻaletonu o loʻo faʻamatalaina i le pou LukaSafonov "O le faʻafitauli o le backport i RouterOS e lamatia ai le faitau selau afe o masini".

puna: www.habr.com