Zdalne, nieuwierzytelnione wykonanie kodu na routerach Mikrotik?

Parę dni temu ukazała się pewna analiza podatności w serwerze ssh (ROSSSH) instalowanym na urządzeniach Mikrotik. Podatne są wersje na systemach RouterOS 5.* oraz 6.*

Co umożliwia luka? Według autora znaleziska:

Exploitation of this vulnerability will allow full access to the router device.

czyli w wolnym tłumaczeniu:

Wykorzystanie tej podatności zapewnia pełen dostęp do podatnego urządzenia [dodajmy jeszcze, że całość można wg autora zrealizować bez uwierzytelnienia].

Wygląda strasznie? Generalnie tak, choć wcale nie ma pewności, że poza DoS-em na SSH, można rzeczywiście zdalnie wykonać dowolny kod na urządzeniu.

Komentarze są dość skrajne – od takich gdzie na pewno da się wykorzystać lukę do zdalnego dostępu – do takich, że „to nic takiego„. W każdym razie producent raptem jeden dzień po ogłoszeniu luki,  udostępnił poprawkę (RouterOS v6.3).

Właścicielom routerów Mikrotik zalecamy więc monitorowanie sytuacji i w miarę możliwości szybką aktualizację systemu (lub zablokowanie zdalnego dostępu do ssh – a przynajmniej jego ograniczenie do wybranej puli adresów IP).

PS

Dzięki dla Dawida Piotrowskiego za zwrócenie uwagi na temat.

–ms