CVE-2018-7445
MikroTik RouterOS Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2018-7445 ist eine Stack-basierte Buffer-Overflow-Schwachstelle in MikroTik RouterOS, die bei der Verarbeitung von NetBIOS-Sitzungsanfragen auftritt. Entfernte Angreifer mit Zugriff auf den SMB-Dienst können diesen Fehler ausnutzen, um beliebigen Code auf dem betroffenen System auszuführen und potenziell die vollständige Kontrolle über den Router zu erlangen. Die Schwachstelle ist besonders gefährlich, da MikroTik-Router in Unternehmens- und ISP-Umgebungen weit verbreitet sind und somit hochwertige Ziele für Netzwerkeinbrüche darstellen. Die CISA hat CVE-2018-7445 in ihren KEV-Katalog aufgenommen, und mit einem außergewöhnlich hohen EPSS-Score von 85,9 % (99. Perzentil) ist die Ausnutzungswahrscheinlichkeit nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mikrotik | routeros | < 6.41.3; 6.42 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://seclists.org/fulldisclosure/2018/Mar/38(Exploit, Mailing List, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/103427(Third Party Advisory, VDB Entry)
- https://www.coresecurity.com/advisories/mikrotik-routeros-smb-buffer-overflow(Exploit, Third Party Advisory)
- https://www.exploit-db.com/exploits/44290/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7445(US Government Resource)
Schwachstellentyp
CWE-121: Stack-basierter Pufferüberlauf
CVE-2018-7445 nutzt einen Stack-basierten Pufferüberlauf im SMB-Dienst von MikroTik RouterOS aus, bei dem die Verarbeitung von NetBIOS-Sitzungsanfragen die Größe eingehender Daten nicht ordnungsgemäß prüft, bevor sie in einen auf dem Stack allokierten Puffer kopiert werden. Wenn Daten, die die zugewiesene Puffergröße überschreiten, auf den Stack geschrieben werden, überschreiben sie angrenzenden Speicher einschließlich Rücksprungadressen, wodurch der Angreifer den Ausführungsfluss umleiten und beliebigen Code ausführen kann.
Mehr erfahren: CWE-121 — Stack-basierter Pufferüberlauf
Auswirkungsanalyse
CVE-2018-7445 stellt ein kritisches Risiko für die Netzwerkinfrastruktur dar. Die Schwachstelle ist aus der Ferne ohne Authentifizierung ausnutzbar, was bedeutet, dass jeder Angreifer mit Netzwerkzugriff auf den SMB-Dienst eines MikroTik-Routers den Pufferüberlauf auslösen kann. Es ist keine Benutzerinteraktion erforderlich, und die Angriffskomplexität ist gering, sobald der Dienst erreichbar ist. Eine erfolgreiche Ausnutzung gewährt dem Angreifer beliebige Codeausführung auf dem Router, was zur vollständigen Kompromittierung des Netzwerkverkehrs, zum Abfangen sensibler Daten, zur Installation persistenter Hintertüren oder zur Nutzung des kompromittierten Routers als Sprungbrett für weitere Angriffe im Netzwerk führen kann. Mit einem EPSS-Score von 85,9 % (99. Perzentil) gehört diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten aller bekannten Schwachstellen.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2018-7445 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 29. September 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 85,9 % (99. Perzentil) deutet auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin und spiegelt die breite Verfügbarkeit von Exploit-Techniken wider. Öffentliche Exploit-Informationen sind über Sicherheitshinweise von Core Security verfügbar, die die Schwachstelle ursprünglich entdeckt und gemeldet haben. Es sind keine spezifischen Ransomware-Kampagnen mit dieser CVE assoziiert, jedoch werden kompromittierte Router häufig als Infrastruktur für verschiedene cyberkriminelle Operationen genutzt.
Behebung
- MikroTik RouterOS sofort aktualisieren: Installieren Sie die vom Hersteller bereitgestellten Patches gemäß der CISA-KEV-Vorgabe. MikroTik hat Firmware-Updates veröffentlicht, die den Stack-basierten Pufferüberlauf im SMB-Dienst beheben.
- SMB-Dienst deaktivieren, wenn nicht benötigt: Deaktivieren Sie auf MikroTik-Routern, auf denen Windows-Dateifreigabe über SMB nicht erforderlich ist, den SMB-Dienst vollständig, um den Angriffsvektor zu eliminieren. Dies kann über die RouterOS-CLI mit 'ip smb set enabled=no' erfolgen.
- Netzwerkzugriff auf Verwaltungsdienste einschränken: Konfigurieren Sie Firewall-Regeln auf dem MikroTik-Gerät, um den Zugriff auf den SMB-Dienst (TCP-Port 445) und andere Verwaltungsschnittstellen auf vertrauenswürdige IP-Adressen zu beschränken.
- Netzwerksegmentierung implementieren: Platzieren Sie MikroTik-Router hinter zusätzlichen Firewall-Schichten und segmentieren Sie Verwaltungsdatenverkehr vom Produktionsdatenverkehr.
- Router-Logs auf anomales Verhalten überwachen: Überprüfen Sie MikroTik-Systemprotokolle auf Anzeichen von Ausnutzungsversuchen, unerwartete Neustarts, Konfigurationsänderungen oder ungewöhnliche Netzwerkverkehrsmuster.
Technische Details
CVE-2018-7445 ist ein klassischer Stack-basierter Pufferüberlauf in der SMB-Protokollimplementierung (Server Message Block) von MikroTik RouterOS, spezifisch bei der Verarbeitung von NetBIOS-Sitzungsanfragen. Wenn der SMB-Dienst eine NetBIOS-Sitzungsanfrage empfängt, kopiert er die eingehenden Daten in einen auf dem Stack allokierten Puffer, ohne die Länge der Eingabe ausreichend zu prüfen. Ein Angreifer kann eine speziell formatierte NetBIOS-Sitzungsanfrage mit einer übergroßen Nutzlast erstellen, die den Puffer überfließt und die gespeicherte Rücksprungadresse auf dem Stack überschreibt. Durch die Kontrolle der Rücksprungadresse kann der Angreifer die Programmausführung auf vom Angreifer bereitgestellten Shellcode umleiten und so Remote-Code-Ausführung mit den Rechten des SMB-Dienstprozesses erlangen. Die Schwachstelle erfordert keine Authentifizierung, da der NetBIOS-Sitzungsaufbau vor jedem SMB-Authentifizierungsaustausch erfolgt.
Häufig gestellte Fragen
Wird CVE-2018-7445 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2018-7445 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 85,9 % im 99. Perzentil ist die Ausnutzung bei exponierten Geräten nahezu sicher. Es sind keine spezifischen Ransomware-Kampagnen mit dieser Schwachstelle assoziiert.
Welche Produkte sind von CVE-2018-7445 betroffen?
CVE-2018-7445 betrifft MikroTik RouterOS-Geräte mit aktiviertem SMB-Dienst. Die Schwachstelle ist in RouterOS-Versionen vor den von MikroTik veröffentlichten Sicherheitspatches vorhanden. Alle Router-Modelle mit verwundbaren Firmware-Versionen sind betroffen, wenn der SMB-Dienst erreichbar ist.
Wie behebe ich CVE-2018-7445?
Aktualisieren Sie MikroTik RouterOS auf die neueste gepatchte Firmware-Version. Falls ein sofortiges Patching nicht möglich ist, deaktivieren Sie den SMB-Dienst auf betroffenen Routern oder beschränken Sie den Netzwerkzugriff auf TCP-Port 445 mittels Firewall-Regeln.
Wie schwerwiegend ist CVE-2018-7445?
CVE-2018-7445 ist eine kritische Schwachstelle, die Remote-Code-Ausführung ohne Authentifizierung auf MikroTik-Routern ermöglicht. Der EPSS-Score von 85,9 % (99. Perzentil) deutet auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin. Eine erfolgreiche Ausnutzung gewährt die vollständige Kontrolle über den Router und stellt schwere Risiken für die Netzwerkinfrastruktur dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.