Некоторые роутеры MikroTik, работающие под управлением RouterOS, уязвимы перед удаленными атаками на отказ в обслуживании. Хотя обновленная версия RouterOS содержала патчи для этой проблемы, исправления оказались неэффективными для многих устройств.
Уязвимость CVE-2018-19299, детали о которой были опубликованы только недавно, была найдена еще в прошлом году и связана с тем, как уязвимые девайсы MikroTik работают с пакетами IPv6. Фактически для эксплуатации бага атакующему достаточно направить уязвимому устройству серию пакетов IPv6, что увеличит потребление RAM и, в конечном счете, приведет к отказу в обслуживании. Дело в том, что память устройства окажется заполнена кэшем IPv6, а размер этого кэша может превышать объем доступной ОЗУ.
Патчи для этой уязвимости были представлены с релизом RouterOS 6.44.2 и 6.43.14, но, как выяснилось, для многих устройств они неэффективны. На проблему обратили внимание специалисты британского хостера Faelix, которые обнаружили и оригинальный баг в 2018 году. По их данным, исправления оказались эффективны лишь для устройств, которые имеют более 64 Мб ОЗУ на борту.
Неэффективность патчей заметили и другие специалисты. Например, эксперт Хавьер Прието (Javier Prieto) рассказал на официальном форуме производителя, что протестировал новейшую версию Cloud Hosted Router (версия RouterOS оптимизированная для работы на виртуальных машинах) на 256 Мб ОЗУ, и 197 Мб были свободны перед атакой. В процессе атаки, осуществлявшейся всего с одной машины, объем свободной памяти стремительно сократился до 13-20 MiB.
Специалисты Faelix собираются рассказать обо всех деталях уязвимости на мероприятии UK Network Operator’s Forum, которое пройдет 9 апреля 2019 года. Пока же эксперты пишут, что устранить баг простой настройкой фильтров файрвола не получится, так как корень уязвимости лежит на уровне ядра и исправить ее крайне трудно: в MikroTik признают, что все версии RouterOS 6-й ветки фактически используют старое ядро, и изменить это невозможно. Проблемы оборудования с небольшим объемом RAM должен решить релиз следующей бета-версии RouterOS, однако дата ее выхода пока неизвестна.
Источник: xakep.ru
