Evgeniy
И вот если галка стоит но на фаерволе ток 53 порты для 8888 открыты?
Vlad 😎
А если фаер стоит так что без особой магии порт винбокса не виден совсем никак и если постучался раз, то сразу бан на 90 дней. Стоит паниковать?
Dargod
Впервые рад, что за глубоким Nat
Vladimir
Backport уязвимость в RouterOS ставит под угрозу сотни тысяч устройств / Хабр
https://habr.com/ru/post/473676/
В 6.45.7 устранили же вроде?
Алексей
как отключить винбокс подскажите?
den
И вот если галка стоит но на фаерволе ток 53 порты для 8888 открыты?
"Однако даже при отключенной функции сервера маршрутизатор поддерживает собственный кэш DNS." опять же цитата
Roman
"Однако даже при отключенной функции сервера маршрутизатор поддерживает собственный кэш DNS." опять же цитата
То есть при отключении винбокса, проблема устраняется?
den
выходит что так..
Evgeniy
Так и до отключения роутера дело дойдет)))
Alexander
смысл винбокс отключать?
Алексей
на вики чтото не могу найти
Kartograf
Backport уязвимость в RouterOS ставит под угрозу сотни тысяч устройств / Хабр
https://habr.com/ru/post/473676/
ну достаточно обновиться до последней вресии предварительно проверяя DNS кэш, и проблем нет, winbox там без дыр, ssh темболее
Алексей
так то без разницы я всегда по ssh обновляю прошивку
Cumberbatch
Ладно. Можно оставить панику.
https://t.me/mikrotikclub/135075
MAJOR CHANGES IN v6.45.7:
----------------------
!) lora - added support for LoRaWAN low-power wide-area network technology for MIPSBE, MMIPS and ARM;
!) package - accept only packages with original filenames (CVE-2019-3976);
!) package - improved package signature verification (CVE-2019-3977);
!) security - fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);
Это как раз направлено на борьбу с этим
Алексей
винбоксом очень редко пользуюсь
Виталий
/rules
Anonymous
а lts релизы собираются обновлять?
ᅠ
не понимаю кто оставляет порт винбокса открытым
Андрей
Про winbox позабавило. Так и не понял, причем он тут) Обновление прошивки можно так же через ssh\telnet\api произвести
Anonymous
вопрос снять на эту ветку тоже выкатили обнову
Cumberbatch
Nikita
Т.е обновиться до 6.45.7 через ssh и там это исправлено?
Roman
не понимаю кто оставляет порт винбокса открытым
у меня винбокс, ssh и веб доступны только с 1 локального IP адреса
Roman
Про winbox позабавило. Так и не понял, причем он тут) Обновление прошивки можно так же через ssh\telnet\api произвести
Ну вот. Меня тоже в ступор ввело, что только через Винбокс можно эксплуатировать уязвимость)
Cumberbatch
у меня винбокс, ssh и веб доступны только с 1 локального IP адреса
Это не спасёт. Обновитесь
Vladimir
Мало что спасёт от днс, который отвечает не то.
ᅠ
у меня винбокс, ssh и веб доступны только с 1 локального IP адреса
смени порты, порты 22, 8291 постучался - в блок лист, перебор портов - блок лист.
ᅠ
маст хэв
Roman
Это не спасёт. Обновитесь
Ладно, прийдется это сделать) Надеюсь не слетят конфиги VPN-ов, как это было на новой прошивке)
Cumberbatch
смени порты, порты 22, 8291 постучался - в блок лист, перебор портов - блок лист.
Вы сами закачаете обновление. И обновитесь до низшей версии и пароль будет пустой
Vladimir
Вы сами закачаете обновление. И обновитесь до низшей версии и пароль будет пустой
Да, но враги-то не пройдут)
Roman
смени порты, порты 22, 8291 постучался - в блок лист, перебор портов - блок лист.
У меня по умолчанию все дропается. кроме указанных IP)
ᅠ
Вы сами закачаете обновление. И обновитесь до низшей версии и пароль будет пустой
да, но после того как человек юзал скрипт на мой микрот, по порту 8291....
Не про мой роутер. Все кто стучатся в 8291 идут в блок лист до ребута роутера, который редко ребутится)
Stanislav
Denis Jeniver
у меня новый 952 постоянно, раз в сутки по ватчдогу ребутится :(
Roman
Может кто объяснит, на новой прошивке ведь тоже самое можно сделать, подменить ДНС и сделать даунгрейд пршивки и получим тоже самое или нет?
Roman
у меня новый 952 постоянно, раз в сутки по ватчдогу ребутится :(
Пока не вижу практического смысле ребутить каждый день)
Cumberbatch
ᅠ
Вы сами закачаете обновление. И обновитесь до низшей версии и пароль будет пустой
и не обязательно руками обновляться, сделать flush dns и обновиться
Denis Jeniver
а если днс даунлоада приколотить руками?
Vladislav
Было лень до последнего, пойду обновлю ☺️ пасиб за пинок
Anonymous
тек надо клиентам обновлять
Tymur
и не обязательно руками обновляться, сделать flush dns и обновиться
Если будет вражеский dns сервер на запросы отвечать постоянно, то очистка кеша никак не поможет - на новый запрос придёт тот же ответ
Denis Jeniver
так в статик приколотить download микротика и все
Andrey
А это работает если стоит в качестве днс Cisco umbrella????
Tymur
Вообще, не вижу в этой уязвимости большой серьйозности - если кто-то может подменять наши dns запросы в злонамеренных целях, то взлом микротика не самая большая из возможных проблем
Denis Jeniver
МИМ вообще серьезно :)
Cumberbatch
Евгений
Несколько раз перечитал, но так и не понял, как именно можно залить устаревшее обновление, если оно устанавливается вручную?
Denis Jeniver
Кто 7.0 крутил - что там нового наворочали?
Tymur
Проблема самого dns резолвера, как я понял, в том что он парсил все записи из ответа, даже если они не соответствовали запрашиваемому адресу. И заносил их все в кеш
Nikita
Вообще, не вижу в этой уязвимости большой серьйозности - если кто-то может подменять наши dns запросы в злонамеренных целях, то взлом микротика не самая большая из возможных проблем
Я так понял что сами днс не подменяются, они валидно обрабатываются при первом обращении и сохраняются в кеш, откуда берутся в дальнейшем. А вот сам кеш можно изменить
Tymur
А для обновления, до сейчас, микротик не использовал подписи прошивок и можно было подменив чейнджлог или какой-то другой файл, раздать через свой вебсервер старую прошивку под видом новой
Cumberbatch
Denis Jeniver
Читайте change log
там ничего принципиального, ради чего 6.хх стоило менять на 7,хх. Поэтому и интересуюсь
Tymur
Я так понял что сами днс не подменяются, они валидно обрабатываются при первом обращении и сохраняются в кеш, откуда берутся в дальнейшем. А вот сам кеш можно изменить
Сам кеш не изменить буквально, туда просто можно было вставить любые записи ответив на любой dns запрос своим правильно подготовленным ответом
Anonymous
Может кто то сталкивался , прилетает от прова по днсп адрес вида x.x.x.0/21 и нечерта не ходит трафик? Кто то сталкивался с таким поведением на микротик? У цицски помнится была такая настроичка которая отключала невозможность рабоать с нулевыми адресами.
Tymur
Хотя, возможно он и заменял уже существующие на новые 🤔
Nikita
Я вообще мягко говоря в шоке с того, что роутерос до сих пор обновляется через http (без ssl)
Tymur
Таким образом можно перенаправить трафик любых сервисов куда угодно и в целях перехвата и/или в целях ddos
Volodymyr
Может кто то сталкивался , прилетает от прова по днсп адрес вида x.x.x.0/21 и нечерта не ходит трафик? Кто то сталкивался с таким поведением на микротик? У цицски помнится была такая настроичка которая отключала невозможность рабоать с нулевыми адресами.
При такой маске адрес 0 вполне допустим. И микротик с ним нормально може тработать.
Cumberbatch
Таким образом можно перенаправить трафик любых сервисов куда угодно и в целях перехвата и/или в целях ddos
Теперь резолв нормально отрабатывает
Anonymous
Ну вот чето не рабоатет
Tymur
Вывод из этой уязвимости - роутеру роутинг, а dnsом пусть занимаются dns сервера
Anonymous
сменил мак прилетел другой айпишнег не нулевой и все поехало :-\
Tymur
Теперь резолв нормально отрабатывает
Теперь да, а те кто не обновятся могут иметь разные непредсказуемые последствия в будущем
Pavlo