Ang kahinaan sa mga router ng MikroTik na humahantong sa pagpapatupad ng code kapag pinoproseso ang IPv6 RA

Natukoy ang isang kritikal na kahinaan (CVE-2023-32154) sa operating system ng RouterOS na ginagamit sa mga MikroTik router, na nagpapahintulot sa isang hindi napatotohanang user na malayuang magsagawa ng code sa device sa pamamagitan ng pagpapadala ng isang espesyal na idinisenyong IPv6 router advertisement (RA, Router Advertisement).

Ang problema ay sanhi ng kakulangan ng wastong pag-verify ng data na nagmumula sa labas sa prosesong responsable para sa pagproseso ng mga kahilingan sa IPv6 RA (Router Advertisement), na naging posible na magsulat ng data na lampas sa mga hangganan ng inilalaang buffer at ayusin ang pagpapatupad ng iyong code na may mga pribilehiyong ugat. Lumilitaw ang kahinaan sa mga sangay ng MikroTik RouterOS v6.xx at v7.xx, kapag pinagana ang IPv6 RA sa mga setting para sa pagtanggap ng mga mensahe ng IPv6 RA (“ipv6/settings/set accept-router-advertisements=yes” o “ipvXNUMX/settings/ set forward=no accept-router -advertisements=yes-if-forwarding-disabled").

Ang posibilidad ng pagsasamantala sa kahinaan sa pagsasanay ay ipinakita sa kumpetisyon ng Pwn2Own sa Toronto, kung saan ang mga mananaliksik na nakilala ang problema ay nakatanggap ng gantimpala na $100,000 para sa isang multi-stage na pag-hack ng imprastraktura na may pag-atake sa Mikrotik router at ginagamit ito bilang isang pambuwelo para sa isang pag-atake sa iba pang mga bahagi ng lokal na network (sa kalaunan ay nakuha ng mga umaatake ang kontrol ng isang Canon printer, impormasyon tungkol sa kahinaan kung saan ay isiniwalat din).

Ang impormasyon tungkol sa kahinaan ay unang nai-publish bago ang patch ay nabuo ng tagagawa (0-araw), ngunit ang RouterOS 7.9.1, 6.49.8, 6.48.7, 7.10beta8 na mga update na nag-aayos sa kahinaan ay nai-publish na. Ayon sa impormasyon mula sa proyekto ng ZDI (Zero Day Initiative), na nagpapatakbo ng kumpetisyon ng Pwn2Own, naabisuhan ang manufacturer tungkol sa kahinaan noong Disyembre 29, 2022. Sinasabi ng mga kinatawan ng MikroTik na hindi sila nakatanggap ng abiso at nalaman lamang ang tungkol sa problema noong Mayo 10, pagkatapos ipadala ang huling babala sa pagsisiwalat. Bilang karagdagan, binabanggit ng ulat ng kahinaan na ang impormasyon tungkol sa uri ng problema ay ipinaalam sa isang kinatawan ng MikroTik nang personal sa panahon ng kumpetisyon ng Pwn2Own sa Toronto, ngunit ayon sa MikroTik, ang mga empleyado ng MikroTik ay hindi lumahok sa kaganapan sa anumang kapasidad.

Pinagmulan: opennet.ru