Критический баг с возможностью повышения привилегий до «Суперадмина» ставит под угрозу 926 тыс. устройств MikroTik

[v_chaplyak]

Я правильно понимаю, нужно winbox или http наружу открыт + дефолтный акк admin(с известным паролем?!). Ну ок, понятно, уязвимость

[Protos]

Ну это только доступные из интернет, как понимаю закрытыми могут большее число устройств. И там не важно какой пароль админа, просто из-за связки уязвимостей повышается риск и все выглядит сильно жутко.

[v_chaplyak]

Дефолтные правила не разрешают любой input из вне. Раз кто то такое разрешает, сам себе в ногу стреляет. Хотя бы белый список минимально

[TimsTims]

Раз кто то такое разрешает, сам себе в ногу стреляет

https://habr.com/ru/articles/536750/

[Radiohead72]

В статье-ж написано что около миллиона микротиков светят winbox в интернет. Какой уж тут input :-)

[rx9cta]

Не до конца понял про суперадмина. Пришлось читать оригинал на английском, чтобы стало что-то понятно.

Итого. Если получится подобрать пароль от учётки админа, то можно, используя уязвимость, получить права "system" в RouterOS и запускать процессы в системе.

[Barnaby]

Если для эксплуатации нужна админская учетка, то чем поможет обновление? Можно же просто даунгрейднуть прошивку до уязвимой :)

[evgeny_72]

Можно сделать логин и пароль свои. По моему, тот кто нашёл ошибку, он сам и запутался с настройками.

[Lucas12]

Первым делом завожу учетку формата имя_цифы а админа блокирую.ибо брутят