Новая уязвимость в MikroTik RouterOS грозит захватом 900 тысяч роутеров

Новая уязвимость в MikroTik RouterOS грозит захватом 900 тысяч роутеров

Новая уязвимость в MikroTik RouterOS грозит захватом 900 тысяч роутеров

Раскрыты детали критической уязвимости в RouterOS, позволяющей повысить права доступа через Winbox или веб-интерфейс до суперадмина. Владельцам устройств MikroTik рекомендуется обновить софт до релиза 6.49.8 или последней сборки 7.x.

Согласно блог-записи VulnCheck, уязвимость CVE-2023-30799 (9,1 балла CVSS) вызвана возможностью повышения привилегий с уровня простого администратора до root-шелл. Эксплойт требует аутентификации и позволяет выполнить любой код в системе, в том числе с целью изменения ОС или сокрытия вредоносной активности.

Требование аутентификации в данном случае не преграда: в RouterOS вшит дефолтный аккаунт админа. В руководстве MikroTik по безопасности рекомендовано его удалить, однако пользователи часто игнорируют эти инструкции.

Более того, в сборках ниже RouterOS 6.49 заданный по умолчанию админ-пароль представляет собой пустую строку, и почти 60% роутеров MikroTik до сих пор его используют. При замене пароля RouterOS не подсказывает, как его усилить; в ней также не предусмотрена защита от брутфорса (исключение составляет SSH).

Первыми CVE-2023-30799 обнаружили год назад исследователи из Margin Research. На тот момент уязвимость еще не получила CVE-идентификатор — только PoC-эксплойт для виртуальной машины RouterOS x86, нареченный FOISted. Позднее в VulnCheck развили эту концепцию, распространив ее на оборудование MikroTik другой архитектуры (MIPS).

Патч для стабильной версии RouterOS вышел в октябре 2022 года (сборка 6.49.7), для ОС с долгосрочной техподдержкой — лишь в этом месяце (6.49.8), да и то благодаря настойчивости ИБ-исследователей. Поиск через Shodan выявил около 500 тыс. роутеров MikroTik с доступной по HTTP панелью управления, а также более 900 тыс. устройств с открытым портом Winbox.

 

Пользователям рекомендуется как можно скорее обновить прошивки или как минимум принять меры для предотвращения эксплойта:

  • убрать админ-интерфейсы из интернета;
  • ограничить вход для пользователей с помощью белых списков IP;
  • отключить Winbox и использовать только SSH;
  • в настройках SSH выставить аутентификацию на базе ключей RSA вместо паролей.

Латвийская MikroTik часто медлит с латанием дыр, и авторам опасных находок приходится многократно напоминать о прорехе, чтобы добиться положительного результата. Пользовательская база вендора обширна (свыше 2 млн устройств), и последствия в таких случаях бывают плачевными: массовый взлом и мобилизация в ботнет, используемый, к примеру, для проведения DDoS-атак.

«Роутеры Mikrotik весьма популярны в различных рыночных сегментах, но действительно в них отсутствует целый ряд механизмов безопасности, которые реализованы в более дорогих устройствах, — отметил в комментарии для Anti-malware.ru руководитель группы защиты инфраструктурных ИТ компании «Газинформсервис» Сергей Полунин. — В то же время сами администраторы продолжают управлять ими, использую дефолтную учетную запись, открывая интерфейсы управления для удаленного доступа. В такой ситуация выявленная уязвимость представляет реальную опасность, хотя реализация угрозы будет весьма нетривиальна».

Специалисты рекомендуют как можно скорее заменить карты Visa и Mastercard

Карты платежных систем Visa и Mastercard сегодня хуже защищены от мошенничества, поэтому их использование несет дополнительные риски. Эксперты советуют по возможности заменить такие карты: после истечения сроков действия сертификатов безопасности проверка данных по операциям фактически не проводится, а самих защитных механизмов у них стало заметно меньше.

Проблемы с безопасностью связаны с тем, что сертификаты защиты этих карт истекли еще 1 января 2025 года. При этом российские банки после ухода международных платежных систем в 2022 году сделали карты Visa и Mastercard бессрочными, переведя их обслуживание на инфраструктуру НСПК.

Однако доцент кафедры государственных и муниципальных финансов РЭУ им. Г. В. Плеханова Мери Валишвили в комментарии для агентства «Прайм» отметила, что длительное использование таких карт повышает риск кражи данных именно из-за ослабленных механизмов защиты.

При этом базовая функциональность карт сохраняется. По оценке Мери Валишвили, лишь небольшая доля терминалов может отклонять операции по таким картам, хотя полностью исключать такую вероятность нельзя. По данным НСПК, около 1% POS-терминалов и банкоматов не поддерживают операции по картам с недействительными сертификатами безопасности.

Председатель комитета Госдумы по финансовому рынку Анатолий Аксаков в комментарии для ТАСС также подчеркнул, что риски при использовании карт Visa и Mastercard со временем только растут, поскольку их защитные механизмы устаревают. По его мнению, Банк России должен получить право устанавливать срок действия таких карт с учетом реального уровня рисков.

RSS: Новости на портале Anti-Malware.ru