CISA warns of critical pre-auth RCE flaw in MikroTik RouterOS

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos ha emi­ti­do una ad­ver­ten­cia acer­ca de una falla crí­ti­ca de se­gu­ri­dad lo­ca­li­za­da en el sis­te­ma ope­ra­ti­vo Rou­te­rOS de la marca Mi­kro­Tik. Dicha de­fi­cien­cia téc­ni­ca, iden­ti­fi­ca­da me­dian­te un có­di­go de se­gui­mien­to es­pe­cí­fi­co, afec­ta la ges­tión de so­li­ci­tu­des HTTP pre­vias a la au­ten­ti­ca­ción den­tro del ser­vi­cio de ad­mi­nis­tra­ción web del soft­wa­re.

El fallo de se­gu­ri­dad con­sis­te en un des­bor­da­mien­to de en­te­ros an­te­rior a la au­ten­ti­ca­ción que puede ser apro­ve­cha­do por un ata­can­te en red que no cuen­te con cre­den­cia­les. Me­dian­te el envío de una única pe­ti­ción ma­ni­pu­la­da, es po­si­ble des­en­ca­de­nar una eje­cu­ción ar­bi­tra­ria de có­di­go con pri­vi­le­gios de usua­rio raíz o pro­vo­car una in­te­rrup­ción en el ser­vi­cio de los equi­pos afec­ta­dos.

A pesar de que no se tiene cons­tan­cia de que la vul­ne­ra­bi­li­dad esté sien­do uti­li­za­da de ma­ne­ra ac­ti­va en ata­ques pú­bli­cos, las au­to­ri­da­des re­co­mien­dan a los pro­pie­ta­rios de estos en­ru­ta­do­res im­ple­men­tar di­ver­sas me­di­das de pro­tec­ción. Entre las ac­cio­nes de­fen­si­vas su­ge­ri­das se en­cuen­tran evi­tar la ex­po­si­ción de los sis­te­mas de con­trol di­rec­ta­men­te a in­ter­net, pro­te­ger las redes me­dian­te cor­ta­fue­gos y em­plear redes pri­va­das vir­tua­les ac­tua­li­za­das para el ac­ce­so re­mo­to.