Desbordamiento de buffer explotable en Mikrotik RouterOS
Los expertos en seguridad de Core Security han anunciado los detalles de una vulnerabilidad de desbordamiento del búfer que afecta a MikroTik RouterOS en versiones anteriores al 6.41.3.
MikroTik es un proveedor letón que produce enrutadores utilizados por muchas compañías de telecomunicaciones de todo el mundo que utilizan el sistema operativo RouterOS basado en Linux.
La vulnerabilidad, rastreada como CVE-2018-7445, podría ser explotada por un atacante remoto con acceso al servicio para ejecutar código arbitrario en el sistema.
"Se encontró un desbordamiento de búfer en el servicio MikroTik RouterOS SMB al procesar mensajes de solicitud de sesión de NetBIOS. Los atacantes remotos con acceso al servicio pueden aprovechar esta vulnerabilidad y obtener la ejecución del código en el sistema ", segun el aviso publicado por la empresa.
"El desbordamiento ocurre antes de que la autenticación tenga lugar, por lo que es posible que un atacante remoto no autenticado lo explote"
Los investigadores publicaron un código de prueba de explotación que funciona con el enrutador alojado en la nube x86 de MikroTik.
Core informó por primera vez el error a MikroTik el 19 de febrero de 2018. MikroTik planeó lanzar una corrección en el próximo lanzamiento el 1 de marzo de 2018 y le pidió a Core que no revelara los detalles de la falla. Incluso si MikroTik no pudo emitir una solución para la fecha límite estimada para 2018, Core esperó el lanzamiento de la nueva versión que ocurrió el lunes 12 de marzo de 2018.
En caso de que no sea posible instalar una actualización, MikroTik sugirió deshabilitar SMB.
Los investigadores han visto alrededor de 100 víctimas de Slingshot y detectado sus módulos, ubicados en Kenia, Yemen, Afganistán, Libia, Congo, Jordania, Turquía, Irak, Sudán, Somalia y Tanzania.
Kenia y Yemen representan la mayor cantidad de infecciones hasta la fecha. La mayoría de las víctimas son individuos en lugar de organizaciones, la cantidad de organizaciones gubernamentales es limitada.
El grupo APT aprovechó vulnerabilidades de día cero (CVE-2007-5633, CVE-2010-1592, CVE-2009-0824) en enrutadores utilizados por el proveedor de hardware de red letón Mikrotik para colocar un spyware en las computadoras de las víctimas.
Los atacantes primero comprometen el enrutador, luego reemplazan uno de sus DDL con uno malicioso del sistema de archivos, la biblioteca se carga en la memoria de la computadora del objetivo cuando el usuario ejecuta el software Winbox Loader, una suite de administración para los enrutadores Mikrotik.
El archivo DLL se ejecuta en la máquina de la víctima y se conecta a un servidor remoto para descargar la carga final, el malware Slingshot en los ataques monitoreados por Kaspersky.
No está claro si Slingshot también explotó la vulnerabilidad CVE-2018-7445 para comprometer los enrutadores.
Ahora que está disponible una prueba de concepto de vulnerabilidad para CVE-2018-7445, los clientes deben actualizar RouterOS a la versión 6.41.3 para evitar problemas.