PT-2020-5639 · Mikrotik · Mikrotik Winbox
Publicado
2020-04-15
·
Atualizado
2020-04-28
·
CVE-2020-5721
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
MikroTik WinBox versões 3.22 e anteriores
Descrição
O problema está relacionado à proteção insuficiente dos dados de registro no arquivo de configuração settings.cfg.viw. Quando o campo “Keep Password” está marcado e nenhuma senha mestra está definida, a senha do usuário em texto simples é armazenada nesse arquivo. Por padrão, a opção “Keep Password” está ativada e a senha mestra não está definida. Um invasor com acesso ao arquivo de configuração pode extrair o nome de usuário e a senha, o que lhe permite obter acesso não autorizado ao roteador.
Recomendações
Para as versões 3.22 e anteriores do MikroTik WinBox, considere definir uma Senha Mestra para proteger o arquivo de configuração e as credenciais armazenadas. Como solução temporária, restrinja o acesso ao arquivo de configuração settings.cfg.viw para minimizar o risco de exploração. Evite usar as configurações padrão para “Manter Senha” e “Senha Mestra” para impedir o armazenamento da senha em texto simples.
Exploit
Correção
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mikrotik Winbox