近期RouterOS的几个漏洞说明

近期很多论坛和群报出各种漏洞问题，RouterOS被攻击，密码被修改，被上传恶意文件等，下面根据官方的信息普及下关于RouterOS的几种漏洞

关于WEB 服务的漏洞

WikiLeaks 开始使用一个新的代号 Vault 7 作为美国中情局（CIA）的敏感信息披露计划，这次被发布的第一份档案 Year Zero 大小高达 513MB，一共包含 8,761 份相关敏感文档。根据维基解密的阐述，这份包含了大量 0day，恶意软件，病毒，木马以及相关文档的高度机密资料，在美国政府黑客和承包商之间传播，其中有人向维基解密提交了这份绝密档案的部分内容。

关于www服务器的漏洞，是从2017年维基解密公布新的代号 Vault 7的文档，据维基解密的阐述，这份包含了大量 0day，恶意软件，病毒，木马以及相关文档的高度机密资料，在美国政府黑客和承包商之间传播，其中有人向维基解密提交了这份绝密档案的部分内容。

如果没有防火墙来保护www服务，该漏洞直接影响到RouterOS的webfig网页配置接口，MikroTik修改该漏洞从6.37.5 Bugfix 版本和6.38.5 发行版本，这两个版本都是在2017年3月9日发布

该漏洞后来被几个恶意攻击利用，并且影响到之前未修复的RouterOS，以及将www服务端口（TCP 80端口）开放给不信任网络RouterOS系统。

1、VPNfilter

在2018年5月22日，MikroTik接到Cisco通知，一个恶意工具VPNfilter在多个网络设备中被发现，其中包括三款MikroTik的设备。MikroTik高度重视，该恶意软件通过RouterOS的一个漏洞安装进系统，但在2017年3月，MikroTik已经修补过该漏洞，被攻击的是老版本的RouterOS。因此建议尽快升级RouterOS最新版本，如果有更多关于该漏洞的消息请与MikroTik联系（support@mikrotik.com）。

如果你运行的RouterOS版本是在2017年3月之前（6.37.5 bugifx版本和6.38.5发行版本），并且允许不信任网络访问设备的www服务（TCP 80端口）

P.S: VPNfilter这个名字只是被发现的恶意软件的代号（更具体地说，是一个假的可执行名称），这个工具的执行方式与VPN隧道没有关联. 从基本的角度看，恶意软件可以嗅探某些类型的流量，并将其发送到某个地方，或者让路由器系统崩溃。

2、流氓僵尸工具

近期MikroTik官方注意到，一款流氓僵尸网络正在扫描随机的公共IP地址，以找到那些打开Winbox（TCP 8291）和WWW（TCP 80）端口的RouterOS，并利用以上描述的几个漏洞进行恶意攻击。注意Winbox与该漏洞没有关系，只是利用winbox的端口来识别MikroTik的RouterOS设备，当识别到后，会继续尝试通过TCP 80端口攻击

如果在最近一年时间未升级过RouterOS，强烈的建议升级你的RouterOS设备，仅需要在winbox中打开/system packages 点击check for updates，选择Download&install，即可升级（确保RouterOS能正常连接网络，并在ip->dns下配置好dns服务器）

 

 

对于80端口的RouterOS如何确定是否安全？

– 如果你在最近一年内升级了RouterOS，是安全的
– 如果你在ip service关闭掉了www服务，是安全的
– 如果你有防火墙配置保护TCP 80端口，确保配置正确，是安全的
– 如果你的Hotspot只对局域网服务，但Webfig不能访问，是安全的
– 如果你的User Manager只对局域网服务，但Webfig不能访问，是安全的.
– 如果你修改了Winbox默认端口，你可以幸免不会被扫描到，但并不代表不会被感染
– 如果你关闭Winbox端口，你可以幸免不会被扫描到，但并不代表不会被感染
– 如果”ip service”的 “allowed-from” 参数设置了信任网络，在信任网络内没有被感染设备，是安全的
– 如果Webfig仅局域网可访问，需要小心被局域网感染设备所利用

 

如果保护？

1、升级RouterOS最新版本，升级方式：Winbox中打开/system packages 点击check for updates，选择Download&install 升级
2、修改你的RouterOS所有管理员密码
3、根据MikroTik官方指南保护你的设备，下面是官方提供的保护路由器的防火墙规则介绍
https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router

 

如果监测?

– 升级到6.38.5或更高版本，将会删除掉漏洞文件，修改密码，安全之前提到的方法保护到TCP 80端口
– 如果你升级设备后，仍然能看通过telnet或其他方式非法访问你的路由器，请打开Tool/torch工具，找到攻击源，但你本地网络的其他设备被感染，也请及时做出升级处理和安全措施

 

 

关于Winbox漏洞

RouterOS发现一个新的漏洞，针对RouterOS v6.29以后的版本，从6.29到6.43rc3受到该漏洞影响。这个漏洞与之前的TCP 80端口不同，这个是直接针对Winbox 8291端口

漏洞说明：该漏洞通过一个特定的工具连接winbox端口（tcp/8291），并获取系统管理员的数据文件，从而得到RouterOS的登录账号和密码。

受影响版本：6.29到6.43rc3受到该漏洞影响，从v6.40.8、v6.42.1和v6.43rc4修复该漏洞，请大家及时更新版本! 升级完成后，及时更改密码

升级操作：/system packages 点击check for updates，选择Download&install 升级