MikroTik RouterOS のパストラバーサルの脆弱性（CVE-2018-14847）

何が起きた

MikroTik のルーター用ソフト RouterOS の管理用の窓口（Winbox）に、本来は見られない場所のファイルにたどり着けてしまう弱点（ディレクトリトラバーサル）が見つかり、実際に悪用が確認されています。NVD の説明では、ログインしていない攻撃者は任意の（攻撃者が好きに選べる）ファイルを読むことができ、ログイン済みの攻撃者は任意のファイルを書き込むことができます。MikroTik によると、この弱点で、利用者の情報が入ったファイルを取り出すことができました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

MikroTik の RouterOS を使っている人・組織が対象です。MikroTik によると、6.29 から 6.42 までの通常版（6.42.1 で修正）、6.30.1 から 6.40.7 までのバグ修正版（6.40.8 で修正）、6.29rc1 から 6.43rc3 までの RC 版（6.43rc4 で修正）が影響を受けます。

何をすればいい

MikroTik は、Winbox と RouterOS を更新し、更新のあとにパスワードを変え、Winbox のポートを外向きの接続口や信頼できないネットワークからつながらないようにファイアウォールで守るよう案内しています。通常版なら 6.42.1 以降、バグ修正版なら 6.40.8 以降に更新されているか確認してください。あわせて、MikroTik の公式の案内を確認してください。

やることチェックリスト

• RouterOS を 6.42.1 以降（バグ修正版は 6.40.8 以降）に更新する
• 更新のあとにパスワードを変更する
• Winbox のポートを外部からつながらないようにする

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。

Winbox

MikroTik のルーターを設定するための管理用の仕組みです。

ファイアウォール

決めたルールに沿って、通信を通したり止めたりする仕組みです。