Новая концепция атаки на роутеры MikroTik позволяет удаленно выполнить любой код на устройстве с незакрытой уязвимостью CVE-2018-14847. Патч для нее вендор выпустил еще в апреле.

Новый PoC-эксплойт для известной бреши создан экспертами Tenable. В воскресенье они продемонстрировали его на конференции DerbyCon 8.0, проходившей в Луисвилле, штат Коннектикут.

«Эксплуатация уязвимости позволяет удаленному злоумышленнику получить доступ root shell к устройству, а также обойти брандмауэр, проникнуть во внутреннюю сеть и даже загрузить вредоносное ПО в системы без ведома жертв», — пишут исследователи в блоге.

Уязвимость, о которой идет речь, кроется в Winbox — приложении Windows, предназначенном для управления операционной системой MikroTik RouterOS. Согласно описанию бреши, ее наличие позволяет удаленно читать любые файлы на устройстве в обход аутентификации. На момент выпуска патча степень опасности CVE-2018-14847 оценивалась как умеренная, однако новый PoC показал, что последствия ее использования могут быть гораздо серьезнее: автор атаки сможет не только читать, но и записывать файлы.

«В бинарном коде licupgr имеется sprintf (функция вывода форматированных данных в строку), с помощью которой прошедший аутентификацию пользователь может инициировать переполнение буфера в стеке, — поясняют эксперты. — Функция sprintf применяется к следующей строке:

где строки username и password контролируются пользователем; аутентифицированный автор атаки может этим воспользоваться, чтобы получить root-доступ к операционной системе».

В комментарии для Threatpost автор PoC Джейкоб Бейнс (Jacob Baines) заявил следующее: «Отчет о баге был подан в апреле, нам же удалось доказать, что его можно использовать для получения root shell. Сначала мы использовали CVE-2018-14847, чтобы выявить учетные данные администратора, а после разрешенный путь выполнения кода обеспечил нам бэкдор».

Хотя MikroTik выпустила патч для CVE-2018-14847 полгода назад, проведенное Tenable сканирование показало, что он установлен лишь на 30% устройств. Это значит, что порядка 200 тыс. роутеров до сих пор открыты для атак. Операционную систему RouterOS используют роутеры бизнес-класса, выпускаемые MikroTik под брендом RouterBOARD, а также ее устройства операторского класса.

«Согласно результатам Shodan, роутеров MikroTik в Интернете сотни тысяч, — гласит блог-запись Tenable. — Они используются по всему миру, с высокой концентрацией в Бразилии, Индонезии, Китае, Российской Федерации и Индии. По состоянию на 3 октября 2018 года, обновление с патчами установлено на 35 – 40 тыс. устройств».

Эксплойт CVE-2018-14847 по первоначальному сценарию был неоднократно замечен в реальных атаках. Так, к августу выяснилось, что неизвестные злоумышленники массово используют уязвимые роутеры MikroTik для майнинга Monero. Мало того, порядка 7,5 тыс. взломанных устройств задействованы в кампании по сбору трафика с целью слежки.

Что касается нового PoC-сценария, то он, со слов Бейнса, пока еще не взят на вооружение злоумышленниками. Эксперт также подтвердил, что апрельские патчи для RouterOS версий 6.40.9, 6.42.7 и 6.43 способны предотвратить любые атаки через CVE-2018-14847.

Специалисты Tenable также обнаружили новые уязвимости в операционной системе разработки MikroTik: выполнение произвольного кода при наличии аутентифицированного доступа (CVE-2018-1156), исчерпание доступной памяти при загрузке файла (CVE-2018-1157), переполнение стека при рекурсивном парсинге запросов (CVE-2018-1158) и нарушение целостности памяти (CVE-2018-1159). Три последние бреши грозят отказом http-сервера.

Категории: Аналитика, Главное, Уязвимости