CVE-2022-34960

MikroTik RouterOS: path traversal przez symlinki w pakiecie container

CVSS 9.8v3.1pub. 2022-08-25upd. 2024-11-21

Podatność w pakiecie container systemu MikroTik RouterOS 7.4beta4 umożliwia atakującemu tworzenie punktów montowania wskazujących na dowiązania symboliczne (symbolic links), które mogą rozwiązywać się do dowolnych lokalizacji na urządzeniu hosta. Krytyczny poziom zagrożenia wynika z możliwości uzyskania pełnej kontroli nad systemem plików urządzenia bez żadnych uprawnień wstępnych.

▸ Pokaż oryginał (EN)

The container package in MikroTik RouterOS 7.4beta4 allows an attacker to create mount points pointing to symbolic links, which resolve to locations on the host device. This allows the attacker to mount any arbitrary file to any location on the host.

🤖 Analiza AI

Jak działa

Pakiet container w RouterOS pozwala na uruchamianie kontenerów na urządzeniu. Błąd polega na tym, że podczas tworzenia punktów montowania (mount points) dla kontenera nie jest prawidłowo weryfikowane, czy docelowa ścieżka jest dowiązaniem symbolicznym. Atakujący może przygotować mount point wskazujący na symbolic link, który prowadzi do dowolnej lokalizacji poza kontenerem — na hoście. Pozwala to na podmontowanie lub nadpisanie dowolnego pliku systemowego RouterOS.

Skutki

Atakujący może zamontować dowolny plik lub katalog w dowolnym miejscu na urządzeniu hosta, co w praktyce prowadzi do ucieczki z kontenera i przejęcia pełnej kontroli nad urządzeniem MikroTik, włącznie z możliwością zdalnego wykonania kodu (RCE).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację RouterOS do stabilnej wersji, w której błąd został usunięty, oraz wyłączenie lub ograniczenie użycia pakietu container do niezbędnego minimum. Dostęp do interfejsu zarządzania urządzeniem powinien być ograniczony wyłącznie do zaufanych adresów IP.

Kogo dotyczy

MikroTik RouterOS 7.4beta4 z włączonym pakietem container

Uwagi

Szczegółowy opis techniczny podatności wraz z analizą mechanizmu ataku został opublikowany przez badaczy na blogu nns.ee w czerwcu i sierpniu 2022 roku (referencje wskazane w metadanych CVE).