CERT Polska cảnh báo lỗ hổng SSH trên MikroTik RouterOS bị khai thác
"CERT Polska warned that attackers are exploiting internet-exposed MikroTik RouterOS SSH services to gain full administrative control without authentication. MikroTik released fixed RouterOS versions for affected branches, and CERT advised immediate patching, restricting management access, and checking for signs of compromise such as suspicious users, scripts, logs, and flagged device status; the exact vulnerability chain and zero-day status were not fully confirmed."
Rủi ro cao do có thể dẫn tới chiếm quyền quản trị hoàn toàn trên router. Cần vá ngay và giới hạn truy cập quản trị để giảm nguy cơ bị khai thác tiếp.
Có thể ảnh hưởng đến tính sẵn sàng mạng, định tuyến và khả năng quản trị thiết bị biên. Nếu bị xâm nhập, doanh nghiệp có thể phải cô lập, khôi phục và thay đổi thông tin xác thực trên diện rộng.
CERT Polska cho biết kẻ tấn công đang khai thác các thiết bị MikroTik RouterOS có dịch vụ SSH được mở ra Internet để giành quyền quản trị đầy đủ mà không cần xác thực. Theo cảnh báo, các vụ tấn công thành công đã được ghi nhận từ ít nhất ngày 2/9; tuy nhiên, chuỗi lỗ hổng cụ thể và việc đây có phải zero-day hay không vẫn chưa được xác nhận đầy đủ.
MikroTik đã phát hành các bản sửa lỗi cho những nhánh bị ảnh hưởng, gồm 6.49.21, 7.23.4, 7.24.2 và 7.25beta3. CERT khuyến nghị cập nhật ngay, đồng thời tạm thời hạn chế truy cập quản trị từ Internet, đặc biệt với SSH, WWW/WWW-SSL và bandwidth-test.
Sau khi cập nhật, quản trị viên nên kiểm tra log hệ thống, trạng thái /system/device-mode/print, các user lạ, script bất thường và thay đổi cấu hình không rõ nguồn gốc. Nếu nghi ngờ bị xâm nhập, cần cô lập router, lưu giữ bằng chứng, khôi phục từ cấu hình tin cậy và đổi mật khẩu, khóa và các bí mật liên quan. CERT cũng lưu ý không xóa trạng thái Flagged trước khi hoàn tất phân tích.