BUG [VULNERABILITA' IMPORTANTE]

[radiation]

La winbox sulle ultime versioni
6.29 to 6.43rc3 (included)
è bacata, nel senso che possono entrare a leggere username e password di tutti gli utenti.

Occorre aggiornare
RouterOS v6.42.1 oppure v6.43rc4
per chiudere il baco.

Hello,

We have released new RouterOS versions in bugfix and current channels.

To upgrade, click "Check for updates" at "System/Package" in your RouterOS configuration interface, or head to our download page: http://www.mikrotik.com/download

What''''s new in 6.40.8 [bugfix] (2018-Apr-23 11:34):

!) winbox - fixed vulnerability that allowed to gain access to an unsecured router;
*) certificate - fixed incorrect SCEP URL after an upgrade;
*) health - fixed empty measurements on CRS328-24P-4S+RM;
*) ike2 - use "policy-template-group" parameter when picking proposal as initiator;
*) ipv6 - fixed IPv6 behaviour when bridge port leaves bridge;
*) routerboard - fixed "mode-button" support on hAP lite r2 devices;
*) ssh - fixed SSH service becoming unavailable;
*) traffic-flow - fixed IPv6 destination address value when IPFIX protocol is used;
*) winbox - show "Switch" menu on cAP ac devices;
*) wireless - improved compatibility with BCM chipset devices;


What''''s new in 6.42.1 [current] (2018-Apr-23 10:46):

!) winbox - fixed vulnerability that allowed to gain access to an unsecured router;
*) bridge - fixed hardware offloading for MMIPS and PPC devices;
*) bridge - fixed LLDP packet receiving;
*) crs3xx - fixed failing connections through bonding in bridge;
*) ike2 - use "policy-template-group" parameter when picking proposal as initiator;
*) led - added "dark-mode" functionality for hAP ac and hAP ac^2 devices;
*) led - improved w60g alignment trigger;
*) lte - allow to send "at-chat" command over disabled LTE interface;
*) routerboard - fixed "mode-button" support on hAP lite r2 devices;
*) w60g - allow to manually set "tx-sector" value;
*) w60g - fixed incorrect RSSI readings;
*) w60g - show phy rate on "/interface w60g monitor" (CLI only);
*) winbox - fixed bridge port MAC learning parameter values;
*) winbox - show "Switch" menu on cAP ac devices;
*) winbox - show correct "Switch" menus on CRS328-24P-4S+;
*) wireless - improved compatibility with BCM chipset devices;

v6.40.8 forum topic disussion:
https://forum.mikrotik.com/viewtopic.php?f=21&t=133585

v6.42.1 forum topic discussion:
https://forum.mikrotik.com/viewtopic.php?f=21&t=133535

MikroTik Team.

[ppraz]

Ciao Andrea,
hai maggiori info a riguardo di questa vulnerabilità?
Mi spiego, sembra che il problema ci sia solo se lasci un utente (anche non admin) non protetto, quindi un malintenzionato può accedere con quell'username e leggere la password di admin.
Ma se tutti gli utenti sono protetti da password il problema è spontaneamente mitigato.

Tu hai potuto riscontrare che la situazione è peggio di come l'ho descritta io?
Grazie del feedback.

[Sivics]

Da quello che ci ho capito io leggendo il post nel forum mikrotik, sfruttando questo bug riescono a scaricare il file che contiene il database degli utenti inseriti.
E poi riescono a decifrare quello che c'è scritto dentro perchè non è protetto da cifratura forte.

[ppraz]

Da quello che ci ho capito io leggendo il post nel forum mikrotik, sfruttando questo bug riescono a scaricare il file che contiene il database degli utenti inseriti.
E poi riescono a decifrare quello che c'è scritto dentro perchè non è protetto da cifratura forte.

Ma quali sono i requisiti per sfruttare il bug?
Basta sapere l'IP e la porta 8291 aperta o serve anche un punto di debolezza maggiore, ad esempio un utente la cui password sia vuota o "password"?
Lo chiedo perché un centinaio di RB affacciate su internet, ma su nessuna ho utenze deboli, sempre protette da password decente.
In extremis potrei chiudere gli accessi winbox da ip pubblico e consentire solo da VPN, ma devo comunque modificare la conf di un centinaio di apparati.

[radiation]

Ora sono in viaggio e non riesco a dettagliare ma il problema c’è con qualsiasi utente e qualsiasi robustezza di password.
Io sono un piccolo Wisp è uno degli ingegneri con cui collaboro (tra l’altro è un noto trainer mikrotik) mi ha avvisato subito di bloccare sul gateway principale l’accesso alla porta 8291 da reti sconosciute.
Pare che per adesso non si siano registrati attacchi massivi ma a quanto pare c’è da aspettarsi che avvengano

https://axiomcyber.com/shield/

[TSI-Troccoli]

Purtroppo anche con password forti le rb sono esposte al bug. Basta che ci sia la 8291 aperta ed è possibile estrapolare il file da cui ricavare le credenziali, quindi dovresti chiudere gli accessi da internet o aggiornarle.

[figheras]

Vista l'importanza lo sposto come annuncio globale in modo da essere visibile a tutti coloro non fossero a conoscenza del caso.
In ogni modo chiunque non avesse un tool per poter aggiornare o attivare una regola sulla cpe in maniera massiva consiglio di scaricare ICS dall'apposita sezione!

[Ciospy]

ciao a tutti, vi scrivo su questo post perchè ultimamente nella mia rb2011uas os 6.38.5 non riesco più ad accedere con le solite credenziali. Ovviamente l'ultimo backup l'ho fatto molto tempo fa e mi ritrovo con la config funzionante ma non posso fare modifiche perchè non riesco ad accedere. Dite che sia stato colpito da questo bug? grazie a chiunque mi possa dare una dritta. Buona giornata

[abbio90]

Purtroppo anche con password forti le rb sono esposte al bug. Basta che ci sia la 8291 aperta ed è possibile estrapolare il file da cui ricavare le credenziali, quindi dovresti chiudere gli accessi da internet o aggiornarle.

Quindi è sufficiente da ip service winbox permettere l'accesso alla porta 8291 solo dalla subnet della lan o eventualmente della vpn???

[radiation]

Si esatto.
Oppure fai una regola di drop verso la 8291.
Comunque un aggiornamento non fa mai male.

Lo script l'ho provato ed in effetti funziona maledettamente bene.