Password in chiaro nel file di configurazione di WinBox

Che cos’è la vulnerabilità CVE-2020-5721?

CVE-2020-5721 è un difetto che permette a un attaccante con accesso al file di configurazione settings.cfg.viw di estrarre nome utente e password in chiaro per ottenere l’accesso al router. Questo accade perché WinBox 3.22 e versioni precedenti salvano la password in testo non cifrato quando l’opzione “Keep Password” è attiva e non è impostata una Master Password. Dato che “Keep Password” è attivo di default e la Master Password non è impostata, la condizione vulnerabile è presente nelle installazioni standard.

Quali versioni di RouterOS sono vulnerabili?

Le versioni vulnerabili sono WinBox 3.22 e tutte le versioni precedenti. La versione correttiva non è ancora comunicata.

Il mio router è a rischio?

Un router è esposto se un attaccante riesce a ottenere accesso al file di configurazione settings.cfg.viw del client WinBox utilizzato per la gestione. Il difetto riguarda WinBox, sia via IP sia via indirizzo MAC, e richiede che l’attaccante abbia già accesso al sistema operativo o ai file locali dove risiede il client. Non si tratta di un’esposizione diretta della rete, ma di una compromissione delle credenziali salvate localmente.

La vulnerabilità CVE-2020-5721 è sfruttata attivamente?

Alla data dell’articolo, non risulta che la vulnerabilità sia sfruttata. Non è presente nel catalogo KEV di CISA e ENISA non la segnala come sfruttata.

Come proteggere il router da CVE-2020-5721?

Aggiornare WinBox a una versione successiva alla 3.22 per eliminare il salvataggio della password in chiaro. In alternativa, disattivare l’opzione “Keep Password” nelle impostazioni di WinBox o impostare una Master Password per proteggere le credenziali salvate. Limitare l’accesso ai file di configurazione del client e garantire che solo utenti autorizzati possano accedere al sistema operativo dove è installato WinBox.

Quali comandi RouterOS servono per mitigare CVE-2020-5721?

Mitigazione temporanea: servizio winbox

Il difetto riguarda Winbox, sia via IP sia via indirizzo MAC. Entrambi gli accessi vanno limitati alla rete di amministrazione.

/ip service print
# Winbox via IP solo dalla rete di gestione (sostituisci con la tua)
/ip service set winbox address=192.168.88.0/24
# Winbox via MAC: spegnilo, o limitalo a un'interface-list di gestione
/tool mac-server mac-winbox set allowed-interface-list=none

Aggiornare RouterOS

L'unica correzione definitiva è l'aggiornamento. Prima si salva la configurazione; l'installazione riavvia il router.

# 1. salva configurazione e backup
/export file=prima-aggiornamento
/system backup save name=prima-aggiornamento
# 2. scegli il canale (long-term o stable) e controlla la versione disponibile
/system package update set channel=stable
/system package update check-for-updates
# 3. installa: ATTENZIONE, il router si riavvia
/system package update install
# 4. dopo il riavvio, aggiorna anche il firmware (RouterBOOT) e riavvia di nuovo
/system routerboard upgrade

Fonti ufficiali

• https://www.tenable.com/security/research/tra-2020-23
• https://www.tenable.com/security/research/tra-2020-23