Everything

Baru-baru ini telah ditemukan sebuah masalah celah hak akses pada MikroTik RouterOS versi 6.46.x hingga 7.10.x. Celah ini memungkinkan administrator yang memiliki hak akses "policy" mengirim perintah konfigurasi yang dibuat khusus yang biasanya ditolak saat dikirim oleh pengguna biasa (pengguna yang tidak memiliki hak akses "policy"). Celah ini dapat digunakan sebagai jalan pintas untuk mengeksekusi kode arbitrer di router, memungkinkan pengguna yang terhubung untuk mengambil alih sistem operasi dasar RouterOS. Celah ini disebabkan oleh kesalahan dalam cara RouterOS menangani perintah konfigurasi yang dikirim melalui API. Saat pengguna mengirim perintah konfigurasi, RouterOS memeriksa izin pengguna untuk melihat apakah mereka diizinkan untuk mengeksekusi perintah tersebut. Namun, jika pengguna memiliki izin "policy", mereka dapat melewati pemeriksaan ini dan mengirim perintah konfigurasi apa pun yang mereka inginkan. Penyerang yang dapat mengeksploitasi ke