// LINUX-MAGAZIN — LINUX & OPEN SOURCE
MikroTrick-Attacke gegen RouterOS
Mehrere schwerwiegende Sicherheitslücken in MikroTiks RouterOS werden derzeit aktiv ausgenutzt. Besonders brisant ist eine Angriffskette namens “MikroTrick”, durch die sich ein Router unter bestimmten Voraussetzungen vollständig übernehmen lässt. Betroffen sind Geräte, deren SSH-Dienst vom Internet aus erreichbar ist. Für die Übernahme sind dabei keine gültigen Zugangsdaten erforderlich.
Der Ausgangspunkt der Angriffskette ist ein Fehler bei der Überprüfung von SSH-Schlüsseln. Der RouterOS-SSH-Server prüft einen hinterlegten RSA-Schlüssel nicht vollständig. Unter bestimmten Voraussetzungen kann ein Angreifer deshalb einen eigenen Schlüssel erzeugen, der vom System akzeptiert wird. Der tatsächlich hinterlegte private Schlüssel des legitimen Benutzers ist dafür nicht erforderlich.
Eine weitere Schwachstelle in der Verarbeitung von Benutzernamen ermöglicht anschließend eine Manipulation der Berechtigungen. Speziell präparierte Benutzernamen können dazu führen, dass eine SSH-Verbindung mit Administratorrechten eingerichtet wird. Durch die Kombination beider Fehler entsteht eine Angriffskette, die von einem manipulierten SSH-Login bis hin zur vollständigen Kontrolle über das RouterOS-System reicht.
Insgesamt sind sechs Sicherheitslücken in verschiedenen Komponenten von RouterOS bekannt. Neben dem SSH-Dienst betreffen sie unter anderem den SSH-Client, den Bandwidth-Test-Dienst, die Verarbeitung von X.509-Zertifikaten
und die WebFig-Oberfläche.
Auch der Bandwidth-Test-Dienst weist einen gravierenden Fehler auf. Unter bestimmten Bedingungen konnten Verbindungen ohne vorherige Authentifizierung akzeptiert werden. In Kombination mit weiteren Fehlern ließ sich dadurch unter anderem auf Daten im Speicher des Routers zugreifen. Darüber hinaus waren Angriffe möglich, die einen entfernten Absturz und anschließenden Neustart des Geräts auslösen konnten.
Die Schwachstellen werden bereits in freier Wildbahn ausgenutzt. Seit Anfang September sind Angriffe auf über das Internet erreichbare RouterOS-Systeme dokumentiert. Bei erfolgreichen Attacken wurden unter anderem neue Benutzerkonten mit weitreichenden Rechten angelegt. In den Protokollen können dabei charakteristische Einträge auftauchen, etwa “login failure for user -2 from via ssh” oder “user added by ssh:-2@”.
Zu den beobachteten Spuren gehört außerdem ein hochprivilegiertes Benutzerkonto namens “ops”. Bei analysierten Angriffen wurde dieses Konto unter anderem über die IP-Adresse 82.192.72.4 angelegt. Eine weitere IP-Adresse, 103.102.31.18, wurde bei Ausnutzungsversuchen beobachtet.
MikroTik hat die Schwachstellen inzwischen in neueren RouterOS-Versionen beseitigt. Als korrigierte Versionen werden 7.25beta3, 7.24.2, 7.23.4 und 6.49.21 genannt. Frühere Versionen sind grundsätzlich betroffen, sofern die entsprechenden Dienste erreichbar sind. Dazu zählen insbesondere SSH, WebFig beziehungsweise die HTTP/HTTPS-Dienste sowie Bandwidth-Test.
RouterOS enthält in den aktuellen Versionen zudem einen Mechanismus, der bestimmte bekannte Manipulationen an der Konfiguration erkennen kann. Werden entsprechende Veränderungen festgestellt, kann das System einen “Flagged”-Status setzen und einen entsprechenden Eintrag im Log erzeugen. Zu den möglichen Spuren einer Kompromittierung zählen außerdem unbekannte Benutzer, veränderte Skripte, neue Scheduler-Einträge, unerwartete Tunnel oder manipulierte Proxy-Einstellungen.
Das LibreOffice-Projekt hat eine Umfrage zur Datenbankanwendung Base ausgewertet. 455 Personen nahmen daran teil und machten Angaben zu ihren Einsatzgebieten, wichtigen Funktionen und Problemen sowie zu gewünschten Verbesserungen.