MTik.pro новости

🚨 Один пакет до рута. В OpenWrt нашли критическую дыру в DHCPv6-сервере (CVSS 9.8) В любимой прошивке раскопали шикарную RCE. Вся магия происходит в демоне odhcpd, который отвечает за выдачу IPv6-адресов. И да, по дефолту этот демон крутится с правами root 😬 Разрабы допустили классическое переполнение фиксированного 512-байтового стекового буфера (pdbuf). Чтобы взломать роутер, атакующему не нужна авторизация. Достаточно плюнуть снаружи всего один нужный UDP-пакет на 547 порт. На Гитхабе подробно расписали сразу два независимых вектора атаки в функциях build_ia() и dhcpv6_ia_handle_IAs(). Хакер отправляет DHCPv6 REQUEST, в который напихано аномальное количество опций (например, 22 невалидных IA_PD и параметр RECONF_ACCEPT). Демон начинает формировать ответ со статусами ошибок, но забывает проверить, осталось ли место в буфере. В итоге ответ тупо пишется за пределы выделенной памяти, а переменная buflen уходит в integer underflow (переполнение через ноль). И это довольно фатально... если на взрослых Linux-серверах от такого спасает защита стека и рандомизация памяти, то на роутерах эти механизмы часто отключены ради экономии ресурсов. В итоге обычное переполнение превращается в гарантированное удаленное выполнение кода. Готовые питоновские скрипты с эксплойтами уже лежат в паблике. Уязвимость закрыли в свежих релизах 24.10.8 и 25.12.5. Кстати, ветка 24.10 в сентябре этого года всё - заканчивается, так что лучше сразу накатывать 25.12. Заодно апдейт закроет еще пачку веселых багов, вроде HTTP request smuggling в веб-морде uhttpd и утечек памяти. Ну или если IPv6 вам физически не нужОн, то вырубайте его на интерфейсах от греха подальше. Меньше протоколов - крепче сон 💤 Типичный 🥸 Сисадмин

в комментариях предлагаю привести примеры как ИИ переводят эти диапазоны из asplain в asdot (мне пока все опрошенные соврали)

открыл для себя новую запись ASN. RFC5396 : Формат ASdot или ASdot+ (они немного разные). asplain - простая десятичная запись ASN в виде одного числа. asdot — формат, разбивающий 32‑битный ASN на две 16‑битные части: «старшую» и «младшую», разделённые точкой. То есть каждые 16 бит интерпретируем как отдельное число. Оказалось, что пользоваться 32-битными ASN бывает комфортнее в ASdot. 😎 Вот пример для таблицы с диапазонами ASN в формате ASplain asplain | comment 0 | reserved RFC7607 1 – 23455 | global 23456 | reserved AS_TRANS 23457 – 64495 | global 64496 – 64511 | Reserved RFC5398 64512 – 65534 | Reserved for Private Use RFC6996 65535 | Reserved RFC7300 65536 – 65551 | Reserved for use in documentation and sample code RFC5398 65552 – 131071 | Reserved 131072 – 4199999999 | global 4200000000 – 4294967294 | Reserved for Private Use RFC6996 4294967295 | Reserved RFC7300 А вот тоже самое, но в формате ASdot asdot | comment 0 | Reserved RFC7607 1 – 23455 | global 23456 | Reserved AS_TRANS 23457 – 64495 | global 64496 – 64511 | Reserved RFC5398 64512 – 65534 | Reserved for Private Use RFC6996 65535 | Reserved RFC7300 1.0 – 1.15 | Reserved for use in documentation and sample code RFC5398 1.16 – 1.65535 | Reserved 2.0 – 64086.59903 | global 64086.59904 – 65535.65534 | Reserved for Private Use RFC6996 65535.65535 | Reserved RFC7300 Итого, если вы использовали приватную 16-битную ASN 64555 , то вы также можете использовать 64555.***** С другой стороны приватные ASN вида 4 2** *** *** , тоже достаточно наглядны. P.S. в комментариях предлагаю привести примеры как ИИ переводят эти диапазоны из asplain в asdot (мне пока все опрошенные соврали)

Вышли новые версии MikroTik #RouterOS RouterOS 7 Stable: 7.23.2 RouterOS 7 Long-term: 7.21.5 RouterOS 6 Long-term: 6.49.20 У всех в changelog'е: !) fixed a service security issue, home user with default config not affected, but we recommend the upgrade for all users regardless; то есть исправили что-то связанное с безопасностью. Домашних пользователей не должно заафектить, но рекомендуют обновиться. Следуем рекомендациям?

Что-то пошло не так и в этом году 1-апрельский RFC вышел поздно. Везде и со всех сторон пишут про публикацию нового черновика RFC про IPv8, который скорее IPv4+v4 Не первая попытка придумать новый стандарт, который победит какие-то проблемы IPv4. Лично…

Уже скоро - в эту пятницу 15 мая в Москве пройдёт конференция GetNet /26 Ещё есть возможность зарегистрироваться и прийти очно, чтобы послушать доклады вживую и позадавать каверZные (или не очень) вопросы. Если вы не в Москве и не готовы всё бросить и приехать…

Уже скоро - в эту пятницу 15 мая в Москве пройдёт конференция GetNet /26 Ещё есть возможность зарегистрироваться и прийти очно, чтобы послушать доклады вживую и позадавать каверZные (или не очень) вопросы. Если вы не в Москве и не готовы всё бросить и приехать…

Уже скоро - в эту пятницу 15 мая в Москве пройдёт конференция GetNet /26 Ещё есть возможность зарегистрироваться и прийти очно, чтобы послушать доклады вживую и позадавать каверZные (или не очень) вопросы. Если вы не в Москве и не готовы всё бросить и приехать — регистрируйтесь на онлайн трансляцию - будет Интересно!

🚨 FTP на 21 порту — цифровая опасность, которая до сих пор работает везде Вы всё ещё используете порт 21 для передачи файлов? Поздравляю — ваши пароли и данные летят по сети в открытом виде. Любой в той же Wi‑Fi перехватит их через Wireshark. Почему это…

Что-то пошло не так и в этом году 1-апрельский RFC вышел поздно. Везде и со всех сторон пишут про публикацию нового черновика RFC про IPv8, который скорее IPv4+v4 Не первая попытка придумать новый стандарт, который победит какие-то проблемы IPv4. Лично я рассматриваю это исключительно как шутку, которая почему-то опубликована 14 апреля, а не 1 апреля.

Чуть интерактива... Что изображено на фото и какой цвет вам нравится больше? 😂 Предлагаю писать в комменты что это ПОД СПОЙЛЕРАМИ и кто с чем сталкивался, что у вас в работе.

Сохраняйтесь. Сегодня день, когда нужно подумать о своих резервных копиях. Не только в этот день, но в этот день - как "посидеть на дорожку", вспомнить если про что-то забыли.

Было скучно, спросил Яндекс Алису про монтирование swap/tmp на Linux, дала логичный ответ, но потом попросил актуализировать инструкцию без /etc/fstab, получил весьма интересный совет. Это считается за галлюцинацию ИИ? Если не понятно, то могу написать в комментариях что тут не так.

Что попадается в honeypot (от APNIC) и какие выводы из этого можно сделать: - Сканирование начинается сразу - Основная масса атак на базовые вещи, например, короткие пароли - Наличие honeypot и анализ того что там происходит позволяет прицельно корректировать…

Что попадается в honeypot (от APNIC) и какие выводы из этого можно сделать: - Сканирование начинается сразу - Основная масса атак на базовые вещи, например, короткие пароли - Наличие honeypot и анализ того что там происходит позволяет прицельно корректировать свои боевые системы

Скучаю по временам, когда люди творчески подходили к названию WiFi сетей. Сейчас WiFi сетей куча, но большинство людей не то, чтобы не переименовывают сеть, а даже не подозревают, что это возможно. А как вы название у вас?

В Новогодние праздники свершилось чудо радостное событие.🍾 Вышла первая версия #RouterOS 7 в канале ❤️‍🔥 Long-term (aka bugfix-only)! ⚠️ 7.20.7 ⚠️ То есть теперь вообще нет никаких причин, чтобы не обновляться на RouterOS 7. ——————— Мы ждали этого: * >…

В Новогодние праздники свершилось чудо радостное событие.🍾 Вышла первая версия #RouterOS 7 в канале ❤️‍🔥 Long-term (aka bugfix-only)! ⚠️ 7.20.7 ⚠️ То есть теперь вообще нет никаких причин, чтобы не обновляться на RouterOS 7. ——————— Мы ждали этого: * >…

В Новогодние праздники свершилось чудо радостное событие.🍾 Вышла первая версия #RouterOS 7 в канале ❤️‍🔥 Long-term (aka bugfix-only)! ⚠️ 7.20.7 ⚠️ То есть теперь вообще нет никаких причин, чтобы не обновляться на RouterOS 7. ——————— Мы ждали этого: * > 3 месяцев — с момента выхода ветки 7.20 * > 9 месяцев — с момента выхода предыдущей Long-term * > 4 лет — с момента выхода 7.1 (первой RouterOS 7 в ветке stable) * 7 лет и 4 месяца — с момента выхода 7.0beta (первая публичная версия RouterOS 7)