MikroTik Releases a Belated, Half-Working Patch to Fix an Old Vulnerability

ラトビアのルーターソフトウェアおよびハードウェア製造業者MikroTikは、2018年4月以来彼らのルーターOSデバイスで休眠していたバグを修正しました。比較的少数のIPv6パケットを配置することによってルータ

MikroTikのスペシャリストは過去12ヶ月間この問題を認識していましたが、彼らがついにこの問題にパッチを当てたのは先週までではありませんでした。この遅延は、主に2つの理由が考えられます。まず、問題は自分のRouterOSベースのデバイスでIPv6機能を手動で有効にしたユーザーにのみ影響します。この機能はデフォルトで無効になっています。つまり、CVE-2018-19299として知られているメモリ枯渇のバグの影響は限定的なものでした。第二に、メモリリークはカーネルレベルで発生したと報告されており、MikroTikが新しいOSを開発しない限り解決することは事実上不可能です。

幸いなことに、パッチは現在事実であり、MikroTikの顧客はできるだけ早く彼らのRouter OSを新しい6.43.14長期バージョンにアップグレードすることをお勧めします。これは、Mikrotikのデバイスに依存しているすべてのネットワーク事業者にとって間違いなく良いニュースです。それでも、FaelixのCTOであるMarek Isalskiは、このパッチが128MB以上のRAMを搭載しているMikroTikルータでのみ有用であることを証明しました。言い換えれば、64 MB以下のRAMを搭載したMikroTik RouterOSデバイスを使用している場合でも、DDoS攻撃の危険にさらされる危険性が依然としてあります。ラトビアのベンダは、将来のRouterOSベータ版ですでに低RAMハードウェアの最適化に取り組んでいます。しかし、このベータ版が到着したとき、現時点では不明のままです。それまでは、IPv6機能を無効にすることが最善の防御策です。

興味深いことに、Iskkiが最初にMikroTikのIPv6の脆弱性を発見したのは、ほぼ1年前のことでした。