MikroTik RouterOS có lỗi argument injection trong SSH dẫn đến leo thang đặc quyền

RouterOS chứa lỗi xử lý tham số trong đường đăng nhập SSH, liên quan đến các tên người dùng bắt đầu bằng một ký tự bị cấm, cho phép thay đổi policy mask tin cậy của RouterOS và dẫn đến leo thang đặc quyền. Việc khai thác yêu cầu một phiên SSH chưa được xác thực để tiếp cận RouterOS login helper. Lỗi này đã được sửa trong các phiên bản: 6.49.21 (Long-term), 7.23.4 (Long-term) và 7.24.2 (Stable).

MikroTik RouterOS có trạng thái mặc định là không bị ảnh hưởng, nhưng các nhánh sau được xác định là bị ảnh hưởng:

• Nhánh 7.x: từ 7.24 đến trước 7.24.2.
• Nhánh 7.x: từ 7.0.0 đến trước 7.23.4.
• Nhánh 6.x: từ 6.0.0 đến trước 6.49.21.

Các bản sửa được CERT Polska xác nhận là 6.49.21 trên kênh Long-term, 7.23.4 trên kênh Long-term và 7.24.2 trên kênh Stable. Trạng thái của các nhánh song song hoặc các bản phát hành khác không được suy ra ngoài những ranh giới này; MikroTik cũng liệt kê 7.25 beta 3 trong nhóm bản phát hành có bản sửa của đợt cập nhật bảo mật.

MikroTik RouterOS có lỗi CWE-88 trong đường xử lý đăng nhập SSH và login helper. Tên người dùng do phía kết nối kiểm soát, nếu bắt đầu bằng ký tự bị cấm, có thể bị bộ phân tích tham số diễn giải sai như một giá trị đặc biệt thay vì chỉ là dữ liệu tên người dùng. Điều này cho phép thay đổi policy mask tin cậy của RouterOS và làm phiên đăng nhập nhận các quyền vượt quá danh tính hoặc nhóm ban đầu. CERT Polska mô tả kết quả của phiên bị khai thác là có đầy đủ quyền quản trị trong RouterOS. Việc khai thác cần khả năng tiếp cận dịch vụ SSH và một phiên SSH chưa được xác thực để tới được thành phần đăng nhập; phân tích kỹ thuật độc lập cho thấy điều kiện xác thực cụ thể có thể phụ thuộc vào cơ chế AAA hoặc cấu hình triển khai, vì vậy đường khai thác trực tiếp trên mọi cấu hình chưa được xác lập hoàn toàn.

Lỗi có thể bị tiếp cận qua mạng thông qua dịch vụ SSH. Bản ghi nguồn mô tả yêu cầu là một phiên SSH chưa được xác thực để tới RouterOS login helper, trong khi phân tích kỹ thuật công khai cho thấy một số triển khai có thể vẫn cần điều kiện xác thực hoặc external AAA trước khi lỗi có thể được kích hoạt; điều kiện này cần được đánh giá theo cấu hình thực tế. Không cần tương tác của người dùng cuối được ghi nhận, và tên người dùng là dữ liệu đầu vào do phía kết nối kiểm soát. CERT Polska đã xác nhận các cuộc tấn công thực tế nhằm vào RouterOS có SSH mở trên mạng công cộng, trong đó chuỗi tấn công liên quan đến lỗi này được dùng để chiếm quyền quản trị thiết bị. Phân tích và tái hiện kỹ thuật công khai đã tồn tại, nhưng việc này không chứng minh rằng mọi thiết bị RouterOS lộ SSH đều có thể bị khai thác chỉ bằng lỗi này độc lập với các điều kiện truy cập khác.

Lỗi cho phép thay đổi policy mask của phiên SSH, dẫn đến leo thang lên đầy đủ quyền quản trị trong RouterOS. Tác động kỹ thuật có thể bao gồm thay đổi cấu hình, tài khoản, script và các cơ chế kiểm soát của thiết bị, với phạm vi thực tế phụ thuộc vào chức năng mạng mà thiết bị cung cấp. Khi SSH của thiết bị có thể truy cập từ mạng công cộng, lỗi này trở thành một phần của chuỗi tấn công đã được quan sát để chiếm quyền kiểm soát router. Tuy nhiên, bằng chứng hiện có không cho phép khẳng định rằng mọi thiết bị lộ SSH đều bị khai thác trực tiếp bởi lỗi này mà không cần điều kiện xác thực hoặc thành phần khác trong chuỗi.

• Phiên bị khai thác có thể đạt quyền quản trị đầy đủ trên RouterOS, tạo điều kiện thay đổi cấu hình và các kiểm soát truy cập của thiết bị.
• Kẻ tấn công có thể tạo hoặc sửa tài khoản đặc quyền, script và các thành phần cấu hình khác; hậu quả cụ thể phụ thuộc vào vai trò của thiết bị trong mạng.
• Router có thể bị mất tính toàn vẹn cấu hình, bị thay đổi cách cung cấp dịch vụ hoặc bị gián đoạn hoạt động quản trị và kết nối mạng.
• Nếu thiết bị đã bị chiếm quyền, các thông tin xác thực, khóa và bí mật được sử dụng trên thiết bị nên được coi là có nguy cơ và cần được thay đổi sau quá trình xử lý sự cố.

1. Cập nhật RouterOS lên bản sửa phù hợp với nhánh đang sử dụng: 6.49.21 cho Long-term v6, 7.23.4 cho Long-term v7 hoặc 7.24.2 cho Stable. MikroTik cũng liệt kê 7.25 beta 3 là bản có sửa lỗi trong đợt cập nhật này.
2. Nếu chưa thể cập nhật ngay, tắt SSH hoặc giới hạn SSH chỉ cho các mạng quản trị tin cậy. Không để cổng quản trị mở cho mạng không tin cậy; có thể sử dụng VPN quản trị thay cho việc mở trực tiếp dịch vụ.
3. Sau khi cập nhật, kiểm tra log, trạng thái flagged bằng /system/device-mode/print, tài khoản không xác định, script và các thay đổi cấu hình khác. Không coi việc không có cờ flagged là bằng chứng thiết bị an toàn.
4. Nếu có dấu hiệu compromise, cô lập thiết bị, bảo toàn log và cấu hình để phân tích trước khi reset. Sau đó khôi phục từ cấu hình đáng tin cậy, cấu hình lại thiết bị nếu cần, thay đổi mật khẩu, khóa và các bí mật liên quan, đồng thời không khôi phục mù quáng một bản sao cấu hình có thể đã bị xâm nhập.

• Kiểm kê các thiết bị MikroTik RouterOS, xác định phiên bản và kiểm tra liệu SSH có thể truy cập từ mạng không tin cậy hay không.
• Rà soát log SSH cho các mẫu login failure for user -2 from <ip> via ssh và user <name> added by ssh:-2@<ip>.
• Kiểm tra sự xuất hiện bất thường của tài khoản có đặc quyền cao tên ops, cùng các user, script, scheduler task hoặc thay đổi cấu hình không được quản trị viên nhận diện.
• Sau khi cập nhật, kiểm tra thông báo compromise trong log và giá trị flagged bằng /system/device-mode/print.
• Coi các dấu hiệu trên là chỉ báo cần điều tra ngay. Việc không thấy flagged hoặc không thấy các mẫu log này không chứng minh thiết bị chưa từng bị xâm nhập.