35 vulnerabilità DoS in RouterOS 6.44–6.48: chi è a rischio e quale versione installare

Perché un solo articolo per 35 CVE?

Perché raccontano la stessa storia 35 volte. Sono il risultato di una campagna di fuzzing sui processi interni di RouterOS 6: per ognuno è stato trovato un modo di farlo crashare (accesso a memoria non valido, puntatore nullo, divisione per zero, assertion fallita, consumo di CPU) e a ognuno è stato assegnato un codice CVE. Scriverne 35 articoli separati non aiuterebbe nessuno: qui trovi la tabella completa e cosa fare, una volta sola.

Chi è a rischio?

Il punto chiave è nella descrizione ufficiale di quasi tutte: “an authenticated remote attacker”. Per sfruttarle bisogna aver già fatto login sul router. In pratica sono pericolose solo se:

• qualcuno che non dovrebbe ha un utente sul router (un ex collaboratore, un cliente con accesso in lettura, una password condivisa);
• le credenziali sono deboli o di default, o esposte su internet tramite WinBox, SSH, API o WebFig;
• il router fa da piattaforma condivisa (per esempio accessi in sola lettura dati a terzi per il monitoraggio).

Un attaccante esterno senza credenziali non può usarle. E il danno è un disservizio, non un furto di dati né il controllo del router: il processo si blocca, RouterOS lo riavvia o, nei casi peggiori, il router si riavvia.

Quali processi e quali versioni?

La versione indicata è quella riportata nella CVE: per alcune è “la 6.44.6 è vulnerabile”, per altre “prima della 6.47”.

Che cosa devo fare?

Tre cose, in ordine di importanza.

Passo 1: aggiornare

Le CVE indicano come vulnerabili versioni fino alla 6.48.3. Se il router è ancora su RouterOS 6, porta l’apparato all’ultima 6.49 long-term; se l’hardware lo permette, valuta il passaggio a RouterOS 7. Controlla la versione con:

/system resource print
/system package update print

Se il router è in rete:

/system package update set channel=long-term
/system package update check-for-updates
/system package update install

Se non raggiunge internet, o vuoi una versione precisa, trovi tutti i pacchetti nell’Archivio RouterOS: scegli architettura e versione e hai i link diretti a download.mikrotik.com, con la procedura di aggiornamento a mano spiegata in I canali di RouterOS.

Passo 2: controllare chi può entrare

Visto che serve un login, la difesa più efficace è ridurre gli utenti e le porte d’accesso:

/user print
/user active print
/ip service print

Togli gli utenti che non servono più, cambia le password condivise e limita i servizi di gestione con Available From alle sole reti di amministrazione. Tutta la procedura è nell’Hardening di base di un router MikroTik.

Passo 3: spegnere quello che non usi

Molti dei processi della tabella girano solo se la funzione è attiva o il pacchetto è installato (sniffer, btest, IGMP proxy, TR-069, PTP, lcdstat sugli apparati con display). Meno servizi accesi significa meno superficie d’attacco, per queste CVE e per le prossime. Per esempio, il server del Bandwidth Test:

/tool bandwidth-server set enabled=no