Уязвимость CVE-2023-30799 в оборудовании MikroTik

Был опубликован новый CVE, в котором описывается проблема с изменением политики, при которой вошедший в систему администратор с разрешениями "policy" (способный предоставлять дополнительные разрешения любому пользователю маршрутизатора) также может отправлять созданные команды конфигурации, которые обмениваются внутри программных компонентов маршрутизатора и обычно отклоняются когда он отправляется пользователем. Это может быть использовано в качестве отправной точки для выполнения произвольного кода на маршрутизаторе, позволяя подключенному пользователю получить контроль над базовой операционной системой, на которой работает RouterOS.

Чтобы иметь возможность использовать этот обнаруженный эксплойт, потребовался бы административный доступ к RouterOS, то есть известные имя пользователя и пароль, а также способ подключения (без брандмауэра).

Это не единственный способ, которым вошедший в систему пользователь-администратор с таким высоким уровнем доступа (как требуется для данного эксплойта) может скомпрометировать маршрутизатор. Другие возможности включают в себя: сохранение, изменение и восстановление резервной копии конфигурации; установку дополнительных пакетов программного обеспечения; использование другого устройства в локальной сети для выполнения сетевой переустановки маршрутизатора на заведомо уязвимую версию.

Таким образом, если злоумышленник имеет полный доступ к маршрутизатору с правами администратора, этот эксплойт не дает дополнительных преимуществ. Крайне важно убедиться, что интерфейс настройки маршрутизатора защищен надежным паролем и недоступен для ненадежных сторон.

Рекомендуемый порядок действий:

Воздержитесь от предоставления административного доступа пользователям, не заслуживающим доверия.

• Убедитесь, что настройки брандмауэра защищают ваше устройство от попыток входа в систему с использованием грубой силы
• Используйте функцию RouterOS device-mode для дополнительной защиты критически важных частей вашего устройства
• Поддерживайте RouterOS в актуальном состоянии, используйте функцию проверки наличия обновлений, чтобы убедиться, что вы используете последнюю версию RouterOS

Короче говоря, администратор RouterOS с полными правами уже может делать в RouterOS все, что угодно, и полностью контролирует всю конфигурацию, но не должен иметь возможности запускать другой код или внедрять другие файлы в подсистему RouterOS. Эта проблема исправлена во всех версиях RouterOS, доступных на нашей странице загрузки (версии 7.7 и 6.49.7 и новее).