Уязвимость Микротика Позволяет Получить Список Всех Пользователей Через Winbox

Устройства Микротик получили широкое распространение благодаря своей цене по отношению к функциональности.

Но ошибки в ПО никто не отменял.

И на этот раз выявился серьезный баг.

25 марта один из пользователей форума Микротик сообщил об обнаружении подозрительной активности на роутерах микротик с использованием портов telnet (TCP порт 23), TR-069 (TCP порт 7547) и WINBOX (TCP 8291).

Сотрудники компании упомянули об ошибке, которую закрыли год назад. Позже выяснилось, что это новая уязвимость и 23 апреля компания Микротик объявил о выпуске прошивка, где эта уязвимость исправлена.

Несмотря на то, что компания быстро выпустила исправление, число устройств, затронутых уязвимостью в сети, исчисляется тысячами.

Я рекомендую всем пользователям RouterOS обновиться как минимум до версии 6.40.8 [исправление] или 6.42.1 [текущая] Также стали общедоступными инструменты, позволяющие обычным пользователям получить доступ к устройствам, не защищенным межсетевым экраном или не обновленным до последней версии.

Ввиду последних событий предлагаю всем пользователям устройств Mikrotik и CHR выполнить хотя бы минимальную настройку.

Минимальные настройки безопасности

И 90% устройств имеют учетную запись «админа» с полными правами.

Просто мечта для выводков.

Когда дело доходит до защиты RouterOS, сделайте несколько простых шагов, чтобы обеспечить минимальную безопасность:

1. Убедитесь, что у вас установлена последняя версия прошивки.

2. Не полагайтесь на отсутствие ошибок в новой прошивке и установите фаервол: 2.1. В цепочке INPUT доступ к устройству разрешен только с доверенных IP-адресов.

   Например, диапазон домашней сети или IP-адреса сетевых администраторов.

   Обратите внимание, что цепочка INPUT применяется только к пакетам, адресованным непосредственно этому маршрутизатору.

   Транзитные пакеты относятся к цепочке FORWARD. 2.2. Отбросьте все пакеты, не соответствующие разрешенным.

   2.3. Если вам нужен периодический доступ с динамических адресов, то используйте «стук портов», чтобы добавить ваш IP в разрешенные на определенное время.

3. Отключите все службы, которыми вы не пользуетесь (api, ssh, telnet и т.д.)
4. После настройки брандмауэра и обновления прошивки смените пароль.

Авторизуйтесь под ним, проверьте права доступа и заблокируйте «администратора».

Брандмауэр

Создайте список адресов, которым будет разрешено подключение к маршрутизатору.

/ip firewall address-list



add address=192.168.1.0/24 list=allow-ip



add address=192.168.88.10/32 list=allow-ip

Добавьте правило, разрешающее все действия с этих адресов.

/ip firewall filter



add action=accept chain=input comment="Allow Address List" src-address-list=allow-ip

Если вам нужен доступ с неизвестных адресов, я жду icmp-пакет (пинг) определенного размера.

Если такой пакет приходит, то адрес источника добавляется в список разрешенных IP со временем 1 час.

При желании из таких пакетов можно сделать каскад.

/ip firewall filter



add action=add-src-to-address-list address-list=allow-ip address-list-timeout=1h chain=input packet-size=783 protocol=icmp

Обратите внимание на размер пакета: package-size 783 байта.

Но при пинге необходимо указать на 28 байт меньше.

В этом случае пинг из окон:

ping -l 755 myhostname.domain

Запрещаем доступ ко всем портам, которые не разрешены выше:

/ip firewall filter add action=drop chain=input

Услуги,

/ip service



set api disabled=yes



set api-ssl disabled=yes

и так далее.

То же самое и с Винбоксом.

Правило добавления в список адресов по пингу











Правило, запрещающее всё и вся, поставлено в самый конец.

Итак, это должно выглядеть так



Здесь настраиваем услуги







Здесь вы можете добавлять и удалять пользователей «admin», а также менять пароль.

Заключение

• Рассмотрим Два Основных Академических Решения: Модули Управления Студентами И Управления Оплатой.

  19 Oct, 24

• Центр Обработки Данных Космической Сети

  19 Oct, 24

• Новый Формат Документа — Cdf (Computable Document Format): Альтернатива Pdf?

  19 Oct, 24

• Минэкономразвития Решило Бороться С Торрентами

  19 Oct, 24

• Канобувости, 54-Й Выпуск

  19 Oct, 24

• Нагрузочное Тестирование Из Облака

  19 Oct, 24

• Виртуальная Студия И Захват Движения С Помощью Htc Vive

  19 Oct, 24

• Рецепт Плавного Релиза: Pmy Note

  19 Oct, 24

• Зачем Осуществлять Валютные Операции На Бирже: 3 Практических Сценария

  19 Oct, 24

• И Снова Интересный Вопрос Про Туннелирование Трафика

  19 Oct, 24