Luka w MikroTik RouterOS 6.49.8 umożliwiająca odczyt poza zakresem pamięci

Co wiadomo

W MikroTik RouterOS 6.49.8 wykryto lukę w funkcji ASN1_STRING_data komponentu SCEP Endpoint, która pozwala na odczyt pamięci poza przydzielonym zakresem poprzez manipulację argumentami transactionID lub messageType. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.

Wpływ biznesowy

Luka o średnim poziomie ryzyka (CVSS 5.5) może prowadzić do nieautoryzowanego dostępu do danych w pamięci urządzenia, co zagraża integralności i poufności systemów sieciowych opartych na MikroTik RouterOS. Operatorzy powinni traktować tę podatność poważnie, zwłaszcza w środowiskach zdalnego dostępu i krytycznej infrastruktury sieciowej.

Rekomendowane działania administratora

Zaleca się aktualizację MikroTik RouterOS do najnowszej wersji z gałęzi v6.x lub v7.x, gdzie luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć ekspozycję urządzeń na dostęp z sieci publicznej, monitorować logi pod kątem podejrzanej aktywności oraz priorytetyzować wdrożenie poprawki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference