Lỗ hổng của MikroTik Router cho phép truy cập full root

[Tenable Research] Lỗ hổng của MikroTik Router cho phép truy cập full root

October 10, 2018 | vietsunshine

Một lỗ hổng đã biết trong bộ định tuyến MikroTik có khả năng nguy hiểm hơn nhiều so với suy nghĩ trước đây.

Một nhà nghiên cứu an ninh mạng của Tenable Research đã công bố một PoC tấn công RCE cho một lỗ hổng tra cứu thư mục cũ đã được tìm thấy và vá hồi tháng 4 năm nay.

Lỗ hổng, được xác định là CVE-2018-14847, ban đầu được đánh giá là mức độ nghiêm trọng trung bình nhưng bây giờ được đánh giá là nghiêm trọng bởi vì kỹ thuật hacking mới được sử dụng chống lại các router MikroTik có lỗ hổng cho phép kẻ tấn công thực thi mã từ xa trên các thiết bị bị ảnh hưởng.

Lỗ hổng này tác động đến Winbox — một thành phần quản lý cho các quản trị viên để thiết lập các bộ định tuyến của họ bằng giao diện dựa trên Web và một ứng dụng Windows GUI cho phần mềm RouterOS được các thiết bị MikroTik sử dụng.

Lỗ hổng này cho phép “kẻ tấn công từ xa bỏ qua xác thực và đọc các tệp tùy ý bằng cách sửa đổi yêu cầu thay đổi một byte liên quan đến Session ID.”

Phương pháp hack mới đã biễn lỗ hổng của MikroTik từ Trung Bình thành Nghiêm Trọng

Phương pháp tấn công mới được tìm thấy bởi Tenable Research đã cho thấy vấn đề nghiêm trọng của lỗ hổng.

Một khai thác PoC, được gọi là “By the Way“, được phát hành bởi Tenable Research Jacob Baines, lần đầu tiên sử dụng lỗ hổng tra cứu thư mục để lấy cắp thông tin đăng nhập của người quản trị từ tệp cơ sở dữ liệu người dùng và sau đó viết một tệp khác trên hệ thống để truy cập root shell từ xa.

Nói cách khác, khai thác mới có thể cho phép hacker tấn công hệ thống RouterOS của MikroTik, triển khai tải trọng phần mềm độc hại hoặc bỏ qua bảo vệ tường lửa của bộ định tuyến.

Kỹ thuật này là một đòn đánh an ninh khác đối với các bộ định tuyến MikroTik, trước đây được nhắm mục tiêu bởi phần mềm độc hại VPNFilter và được sử dụng trong một chiến dịch khai thác tiền điện tử được phát hiện cách đây vài tháng.

Những lỗ hổng mới của MikroTik

Bên cạnh đó, Tenable Research cũng tiết lộ thêm lỗ hổng MikroTik RouterOS, bao gồm:

  • CVE-2018-1156 — Lỗ hổng tràn bộ đệm ngăn xếp có thể cho phép thực thi mã từ xa được xác thực, cho phép kẻ tấn công truy cập toàn bộ hệ thống và truy cập vào bất kỳ hệ thống nội bộ nào sử dụng bộ định tuyến.
  • CVE-2018-1157 — Lỗi làm hết bộ nhớ tệp tải lên cho phép kẻ tấn công từ xa được xác thực làm hỏng máy chủ HTTP.
  • CVE-2018-1159 — Lỗ hổng làm hư bộ nhớ www có thể làm hỏng máy chủ HTTP bằng cách nhanh chóng xác thực và ngắt kết nối.
  • CVE-2018-1158 — Một vấn đề làm cạn phân tích cú pháp phân tích đệ quy có thể làm hỏng máy chủ HTTP thông qua phân tích cú pháp đệ quy của JSON.

Các lỗ hổng ảnh hưởng đến các phiên bản firmware của Mikrotik RouterOS trước 6.42.7 và 6.40.9

Tenable Research đã báo cáo các vấn đề với MikroTik vào tháng 5 và công ty đã giải quyết các lỗ hổng bằng cách phát hành các phiên bản RouterOS 6.40.9, 6.42.7 và 6.43 vào tháng 8.

Trong khi tất cả các lỗ hổng đã được vá hơn một tháng trước, một lần quét gần đây của Tenable Research cho thấy 70% các router (tương đương 200.000) vẫn dễ bị tấn công.

Điểm mấu chốt: Nếu bạn sở hữu một bộ định tuyến MikroTik và bạn chưa cập nhật RouterOS, bạn nên làm ngay bây giờ.

Ngoài ra, nếu bạn vẫn đang sử dụng thông tin xác thực mặc định trên bộ định tuyến của mình, đây là thời điểm cao để thay đổi mật khẩu mặc định và giữ mật khẩu độc đáo, dài và phức tạp.

Tags: ,