Dnes ráno mi do emailu přišlo bezpečnostní upozornění, přes děravou službu WinBox se nově šíří botnet.
Jde o chybu management služby winbox, která byla opravena v verzi 6.42.1 vydaná 23. dubna 2018 (23.4). Postižené jsou verze od 6.29 (28.5.2015) do 6.42 (20.4.2018) .Od odhalení chyby a její fixnutí uplynulo jen několik dní a stále nechápu proč nemalá část administrátorů s tímto upgradem váhá. Nahlašoval jsem to našim partnerům, kteří také používají směrovače do Mikrotiku ani v jejich případě nebyl problém udělat upgrade do týdne. Dále není vhodné spoléhat na omezení přístupu přes IP > Services ale je dobré to také zaříznout ve firewallu tzn. mít 2 “filtry” po cestě do služby. V emailu bylo dále uvedeny tyto kroky pro bezpečnější spaní:
- Aktualizovat RoS na poslední verzi
- Změnit heslo pro administrátorský přístup
- Obnovit konfiguraci ze zálohy a prohlédnout jestli neobsahuje nějaké podezřelé řádky
- Nastavit firewall dle guide z wiki,
Originální znění emailu z dnešního rána:
Hello,
It has come to our attention that a rogue botnet is currently using a vulnerability in the RouterOS Winbox service, that was patched in RouterOS v6.42.1 in April 23, 2018.
Since all RouterOS devices offer free upgrades with just two clicks, we urge you to upgrade your devices with the “Check for updates” button, if you haven’t done so already.
Steps to be taken:
– Upgrade RouterOS to the latest release
– Change your password after upgrading
– Restore your configuration and inspect it for unknown settings
– Implement a good firewall according to the article here:
https://wiki.mikrotik.com/wiki
All versions from 6.29 (release date: 2015/28/05) to 6.42 (release date 2018/04/20) are vulnerable. Is your device affected? If you have open Winbox access to untrusted networks and are running one of the affected versions: yes, you could be affected. Follow advice above. If Winbox is not available to internet, you might be safe, but upgrade still recommended.
More information about the issue can be found here: https://blog.mikrotik.com
Best regards,
MikroTik
Zdroj: email, hackernews