Una vulnerabilidad crítica afecta a más de 900.000 routers MikroTik, permitiendo a los atacantes tomar el control total del dispositivo y permanecer sin ser detectados. La falla, identificada como CVE-2023-30799, permite elevar privilegios a «superadministrador» mediante la interfaz Winbox o HTTP.
Un problema a gran escala
La vulnerabilidad fue revelada en junio de 2022 y solucionada por MikroTik en octubre de 2022 para RouterOS estable (v6.49.7) y el 19 de julio de 2023 para la rama a largo plazo (v6.49.8). Los investigadores utilizaron Shodan para estimar que entre 500.000 y 900.000 dispositivos son vulnerables.
Además, se descubrió que 926.000 dispositivos exponían el puerto de administración Winbox, lo que aumenta el impacto de la falla. En Argentina, aproximadamente 10.000 dispositivos son vulnerables.
La vulnerabilidad CVE-2023-30799
Para explotar esta vulnerabilidad se requiere una cuenta de administrador existente, lo que permite elevar los privilegios a «Superadministrador». Este nivel de acceso brinda control completo sobre el sistema operativo RouterOS.
El atacante puede aprovechar la vulnerabilidad para realizar cambios significativos en el sistema operativo subyacente o ocultar sus actividades. Para desarrollar un exploit, los analistas utilizaron el código del proyecto FOISted de Margin Research.
El exploit no requiere exposición de la interfaz FTP ni se ve afectado por el bloqueo de bindshells, ya que utiliza la interfaz web para cargar archivos. Sin embargo, sigue necesitando autenticación como «administrador».
Problemas con las credenciales
MikroTik RouterOS no impone requisitos de fortalecimiento de contraseñas, lo que hace a los dispositivos susceptibles a ataques de fuerza bruta. La contraseña predeterminada para el usuario administrador era una cadena vacía hasta octubre de 2021.
Casi el 60% de los dispositivos MikroTik aún utilizan la cuenta de administrador predeterminada, a pesar de las recomendaciones del proveedor. Esto facilita la explotación de la vulnerabilidad.
Parchea tus dispositivos
Los usuarios deben aplicar la última actualización de RouterOS 6.49.9 o 7.10.x para corregir la falla, ya que los intentos de explotación aumentarán pronto.
Se recomienda eliminar las interfaces administrativas de Internet, restringir las direcciones IP de inicio de sesión a una lista definida, deshabilitar Winbox y usar solo SSH. Además, se sugiere configurar SSH para usar claves públicas/privadas en lugar de contraseñas.
Los dispositivos MikroTik han sido atacados por malware en múltiples ocasiones, incluyendo la participación en botnets DDoS como Mēris.