Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Krytyczna podatność w Mikrotikach – łatajcie ASAP
Udostępniono patcha na krytyczną podatność, umożliwiającą zdalny, nieautoryzowany dostęp do urządzenia (poprzez Winbox). Problem dotyka systemy w wersjach od 6.29 do 6.43rc3.
Jako wstępny workaround podano następujące rozwiązanie:
If your Winbox port is open to untrusted networks, assume that you are affected and upgrade + change password + add firewall.
Podatność załatano w wersjach OS: 6.42.1 oraz 6.43rc4. Producent Mikrotika zaleca też nieudostępnianie do Internetu portu usługi Winbox; przy okazji warto też zmienić swoje hasła dostępowe do urządzeń.
W cytowanym poście znajdziemy informację o tym, że bez uwierzytelnienia można pobrać bazę użytkowników, a w bazie znajdziemy hasła zapisane w plaintext:
This implies at minimum that the user database file not only contains actual passwords (instead of hashes) but keeps those passwords in the clear or very close to it. Both practices are almost unheard of in modern security practices!
Ta ostatnia informacja nie jest jeszcze sprawdzona, zapewne w najbliższym czasie pojawią się aktualizacje.
–ms
http://manio.skyboo.net/mikrotik/index.po.php
Nie w plaintext, ale prawie że – bo w sposób możliwy do odczytania. MikroTik twierdzi, że pracuje nad tym również :).
Swoją drogą MikroTik wpadł na ciekawy patent szyfrowania hasła :).
„do nazwy użytkownika doklejany jest stały ciąg znaków „283i4jfkai3389” a z całości tego „zlepka” jest liczona suma md5. Obliczona suma to własnie klucz do dekodowania hasła :)”
To nie ich patent, to po prostu zwykle „solenie” hasel https://en.wikipedia.org/wiki/Salt_(cryptography)
Przy czym prawidłowe solenie wymaga, aby każde hasło miało własną sól. Inaczej traci to sens.
Upgrade zrobione.
Dziękuję za informację.
Nie ma to jak pod presją dziurki ładować z palca najnowszy release. Tylko czekać aż w sieci stanie OSPF MPLS albo VLANy … albo może porty się zaczną zgadywać na 10Mbit, zacznie zamierać ruch, proces idle zje procesor albo porty zaczną flapować od tak. MikroTik to jeden wielki eksperyment i każda wersja stable jest stable jedynie z nazwy.
Widać że MikroTik’owi niezbyt zależy również na własnej (angielskojęzycznej) stronie na Wikipedii – 4 miesiące temu została usunięta i tak jest do tej pory:
https://en.wikipedia.org/w/index.php?title=Special%3ALog&page=MikroTik