{"data":{"case":{"actions":{"de":["Aktualisiere RouterOS mit **Check for updates** auf eine aktuelle Version. Alle Versionen von 6.29 bis 6.42 sind für diese Lücke offen. Behoben ist sie in **6.42.1** und **6.40.8**.","Ändere nach dem Update alle Router-Passwörter: Wenn Angreifer die Benutzerdatenbank vorher kopiert haben, sperrt das Update allein sie nicht aus.","Sorge dafür, dass Winbox (Port **8291**) aus dem Internet nicht erreichbar ist: Sperre den Port in der Firewall oder erlaube unter **IP \u003e Services** nur bekannte Adressen.","Prüfe die Konfiguration auf Einstellungen, die du nicht selbst vorgenommen hast: Scheduler-Aufgaben, die Skripte abrufen, einen eingeschalteten **SOCKS-Proxy**, einen laufenden Paket-Sniffer, unbekannte Benutzer oder VPN-Clients."],"en":["Update RouterOS to a current release with **Check for updates**. All versions from 6.29 to 6.42 are open to this flaw, which **6.42.1** and **6.40.8** fixed.","Change every router password after the update: if attackers copied the user database earlier, the update alone does not lock them out.","Keep Winbox (port **8291**) off the internet: block it in the firewall, or allow only known addresses under **IP \u003e Services**.","Check the configuration for settings you did not make: scheduler tasks that fetch scripts, an enabled **SOCKS proxy**, a running packet sniffer, unknown users or VPN clients."]},"criteria":{"damage":{"de":"Eine Zahl zum Schaden ist nicht dokumentiert. Laut MikroTik nutzte das Botnetz Mēris Router, die 2018 kompromittiert wurden. 2021 überflutete es Yandex mit 21,8 Millionen Anfragen pro Sekunde. Die Quellen nennen aber weder Kosten noch Ausfälle kritischer Dienste (Qrator Labs, MikroTik).","en":"No damage figure is documented. MikroTik says the Mēris botnet used routers compromised in 2018. In 2021, it flooded Yandex with 21.8 million requests per second. But the sources give no cost and no outage of critical services (Qrator Labs, MikroTik).","met":false},"exploitation":{"de":"Angreifer hatten auf 239.000 Geräten einen Proxy eingeschaltet und 7.500 Router dazu gebracht, den Datenverkehr ihrer Besitzer an sie weiterzuleiten (Netlab 360, 4. September 2018). Mehr als 170.000 Geräte trugen denselben Coinhive-Mining-Schlüssel (Trustwave, 2018).","en":"Attackers had switched on a proxy on 239,000 devices and made 7,500 routers send their owners' traffic to them (Netlab 360, September 4, 2018). More than 170,000 devices carried the same Coinhive mining key (Trustwave, 2018).","met":true},"reach":{"de":"Am 23. und 24. August 2018, vier Monate nach dem Patch, waren noch 370.000 MikroTik-Geräte verwundbar. Das waren 30,83 % der 1,2 Millionen Geräte, deren Winbox aus dem Internet erreichbar war (Netlab 360).","en":"On August 23–24, 2018, four months after the fix, 370,000 MikroTik devices were still vulnerable. That was 30.83 % of the 1.2 million found with Winbox open to the internet (Netlab 360).","met":true},"response":{"de":"MikroTik lieferte einen Patch und rief wiederholt zum Passwortwechsel auf. Im Dezember 2021 kam die Lücke auf die CISA-Liste ausgenutzter Schwachstellen. Eine Notfallanweisung oder die höchste nationale Warnstufe ist nicht dokumentiert (MikroTik, CISA).","en":"MikroTik released a fix and repeatedly urged password changes. In December 2021, CISA put the flaw on its list of exploited vulnerabilities. No emergency directive or highest national warning level is documented (MikroTik, CISA).","met":false}},"cves":["CVE-2018-14847"],"cvss":9.1,"cvss_version":"3.1","cwe":"CWE-22","dates":[{"date":"2018-04-23","key":"discovered"},{"date":"2018-04-23","key":"patched"},{"date":"2018-07-31","de":"Trustwave bemerkt eine Welle von Mining-Skripten, die MikroTik-Router in Brasilien ausliefern","en":"Trustwave notices a surge of mining scripts served by MikroTik routers in Brazil"},{"date":"2018-09-04","de":"Netlab 360 meldet 7.500 Router, die den Datenverkehr ihrer Besitzer an Angreifer weiterleiten","en":"Netlab 360 reports 7,500 routers that send their owners' traffic to attackers"},{"date":"2018-10-10","de":"Tenable zeigt, dass die Lücke Angreifern auch eine Root-Shell verschaffen kann","en":"Tenable shows that the flaw can also give attackers a root shell"},{"date":"2021-09-15","de":"Laut MikroTik nutzt das Botnetz Mēris für seine DDoS-Rekordangriffe Router, die 2018 kompromittiert wurden","en":"MikroTik says the Mēris botnet, behind record DDoS attacks, uses routers compromised in 2018"},{"date":"2021-12-01","key":"kev"}],"de":{"credit":"MikroTik selbst, nach eigenen Angaben; ein externer Entdecker wird nicht genannt","fixed":"RouterOS 6.42.1, 6.40.8 und 6.43rc4 (23. April 2018)","product":"MikroTik RouterOS, das Betriebssystem der MikroTik-Router, über seinen Verwaltungsdienst Winbox","summary":"Eine Lücke im Winbox-Dienst von MikroTik-Routern ließ jeden die Passwörter der Administratoren herunterladen. Monate nach dem Patch hatten Angreifer mehr als 200.000 Router gekapert."},"disclosed":"2018-04-23","en":{"credit":"MikroTik itself, by its own account; no outside finder is named","fixed":"RouterOS 6.42.1, 6.40.8 and 6.43rc4 (April 23, 2018)","product":"MikroTik RouterOS, the operating system of MikroTik routers, through its Winbox management service","summary":"A flaw in the Winbox service of MikroTik routers let anyone download the administrators' passwords. Months after the fix, attackers had hijacked more than 200,000 routers."},"figures":[{"de":"MikroTik-Geräte waren vier Monate nach dem Patch noch verwundbar (Netlab 360)","en":"MikroTik devices were still vulnerable four months after the fix (Netlab 360)","value":"370,000"},{"de":"Geräte betrieben einen Proxy, den Angreifer eingeschaltet hatten (gezählt nach IP-Adressen; Netlab 360)","en":"devices ran a proxy that attackers had switched on (counted by IP address; Netlab 360)","value":"239,000"},{"de":"Router schickten Kopien des Datenverkehrs ihrer Besitzer an Angreifer (Netlab 360)","en":"routers sent copies of their owners' traffic to attackers (Netlab 360)","value":"7,500"},{"de":"MikroTik-Geräte trugen denselben Coinhive-Mining-Schlüssel (mehr als; Trustwave, über Censys)","en":"MikroTik devices carried the same Coinhive mining key (more than; Trustwave, via Censys)","value":"170,000"}],"kev":"2021-12-01","key":"mikrotik","name":"MikroTik Winbox","product":"MikroTik RouterOS","sources":[{"de":"MikroTik-Sicherheitshinweis: Winbox-Schwachstelle (CVE-2018-14847)","title":"MikroTik security advisory: Winbox vulnerability (CVE-2018-14847)","url":"https://mikrotik.com/supportsec/winbox-vulnerability/"},{"de":"MikroTik-Forum: Warnung vom 23. April 2018, mit den korrigierten Versionen","title":"MikroTik forum: advisory of April 23, 2018, with the fixed versions","url":"https://forum.mikrotik.com/t/advisory-vulnerability-exploiting-the-winbox-port-solved/118771"},{"de":"MikroTik-Forum: Ein Botnetz nutzt die Winbox-Lücke aus (2. August 2018)","title":"MikroTik forum: a botnet exploits the Winbox flaw (August 2, 2018)","url":"https://forum.mikrotik.com/t/winbox-vulnerability-please-upgrade/122004"},{"de":"MikroTik: Stellungnahme zum Botnetz Mēris (15. September 2021)","title":"MikroTik: statement on the Mēris botnet (September 15, 2021)","url":"https://mikrotik.com/supportsec/meris-botnet/"},{"de":"NVD: CVE-2018-14847","title":"NVD: CVE-2018-14847","url":"https://nvd.nist.gov/vuln/detail/CVE-2018-14847"},{"de":"CISA: Katalog ausgenutzter Schwachstellen, Eintrag zu CVE-2018-14847","title":"CISA: Known Exploited Vulnerabilities Catalog, entry for CVE-2018-14847","url":"https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14847"},{"de":"Netlab 360: Mehr als 7.500 MikroTik-Router leiten den Datenverkehr ihrer Besitzer an Angreifer weiter (4. September 2018)","title":"Netlab 360: 7,500+ MikroTik routers are forwarding owners' traffic to the attackers (September 4, 2018)","url":"https://blog.netlab.360.com/7500-mikrotik-routers-are-forwarding-owners-traffic-to-the-attackers-how-is-yours-en/"},{"de":"Trustwave SpiderLabs: Masseninfektion von MikroTik-Routern, zuerst in Brasilien (2018, heute auf der Website von LevelBlue)","title":"Trustwave SpiderLabs: mass MikroTik router infection, first in Brazil (2018, now on the LevelBlue site)","url":"https://www.levelblue.com/en-us/resources/blogs/spiderlabs-blog/mass-mikrotik-router-infection-first-we-cryptojack-brazil-then-we-take-the-world/"},{"de":"Tenable: Sicherheitslücken in MikroTik RouterOS, hinter CVE-2018-14847 steckt mehr (10. Oktober 2018)","title":"Tenable: MikroTik RouterOS vulnerabilities, there's more to CVE-2018-14847 (October 10, 2018)","url":"https://www.tenable.com/blog/mikrotik-routeros-vulnerabilities-there-s-more-to-cve-2018-14847"},{"de":"Qrator Labs und Yandex: Das Botnetz Mēris auf Rekordkurs (9. September 2021)","title":"Qrator Labs and Yandex: Mēris botnet, climbing to the record (September 9, 2021)","url":"https://blog.qrator.net/en/meris-botnet-climbing-to-the-record_142/"},{"de":"Microsoft: TrickBot nutzt MikroTik-Router, um seine Steuerserver zu verbergen (16. März 2022)","title":"Microsoft: TrickBot's use of MikroTik routers to hide its command servers (March 16, 2022)","url":"https://www.microsoft.com/en-us/security/blog/2022/03/16/uncovering-trickbots-use-of-iot-devices-in-command-and-control-infrastructure/"},{"de":"Cisco Talos: VPNFilter III, mit dem Winbox-Protokoll von MikroTik (26. September 2018)","title":"Cisco Talos: VPNFilter III, with MikroTik's Winbox protocol (September 26, 2018)","url":"https://blog.talosintelligence.com/vpnfilter-part-3"},{"de":"BleepingComputer (Presse): MikroTik schließt eine bereits angegriffene Zero-Day-Lücke in Rekordzeit (24. April 2018)","title":"BleepingComputer (press): MikroTik patches zero-day flaw under attack in record time (April 24, 2018)","url":"https://www.bleepingcomputer.com/news/security/mikrotik-patches-zero-day-flaw-under-attack-in-record-time"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N","year":2018}},"description":"2018 ließ eine Lücke Angreifer die Passwörter von MikroTik-Routern kopieren. Vier Monate nach dem Patch waren noch 370.000 verwundbar, über 200.000 gekapert.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Am 23. April 2018 behob der Router-Hersteller MikroTik eine Sicherheitslücke in RouterOS, dem Betriebssystem seiner Router. Über Winbox, den Dienst zur Fernverwaltung eines Routers, konnte jeder im Internet ohne Anmeldung die Benutzerdatenbank des Routers herunterladen. Sie enthielt die Namen und Passwörter der Administratoren. Vier Monate nach dem Patch zählte das chinesische Sicherheitslabor Netlab 360 noch immer rund 370.000 verwundbare MikroTik-Geräte. Bis dahin hatten Angreifer mehr als 200.000 MikroTik-Geräte übernommen, um ihren eigenen Datenverkehr zu verschleiern, die Besitzer auszuspionieren und Kryptowährung zu schürfen.\nSo funktionierte der Angriff Winbox ist ein kleines Windows-Programm, mit dem Administratoren MikroTik-Router einrichten. Es spricht über den Netzwerkport 8291 mit einem passenden Dienst auf dem Router. Ein Port ist ein nummerierter Zugang, über den ein Gerät einen Dienst anbietet. MikroTik betont, dass der Fehler in diesem Dienst lag, also in RouterOS selbst, und nicht im Windows-Programm.\nDer Dienst prüfte die Dateipfade in eingehenden Anfragen nicht richtig. Ein präparierter Pfad konnte aus dem Ordner herausführen, auf den der Dienst beschränkt sein sollte. Fachleute nennen diesen Fehler Path Traversal. Ein Angreifer konnte so ohne Anmeldung jede beliebige Datei anfordern, auch die Benutzerdatenbank. Die Passwörter darin ließen sich entschlüsseln. MikroTik kündigte an, die Datenbank so abzusichern, dass eine Entschlüsselung „nicht mehr auf dieselbe Weise möglich“ sein werde.\nMit dem Passwort konnte sich ein Angreifer wie ein gewöhnlicher Administrator anmelden und jede Einstellung ändern. Der Sicherheitshinweis von MikroTik beschreibt eine mögliche Spur: einen fehlgeschlagenen Anmeldeversuch im Log, gefolgt von einer erfolgreichen Anmeldung von einer unbekannten Adresse. Darüber hinaus gab es „keinen sicheren Weg“, um festzustellen, ob ein Router angegriffen worden war.\nIm Oktober 2018 zeigte das Sicherheitsunternehmen Tenable, dass die Lücke schwerer wog als gedacht. Mit derselben Art von Anfrage ließen sich auch Dateien an beliebiger Stelle auf dem Router schreiben. Tenable legte so eine Datei an, die eine Root-Shell freischaltet, eine Befehlszeile mit voller Kontrolle über das System unter RouterOS. Laut Tenable konnte ein Angreifer auch ohne Passwort dorthin gelangen.\nAngreiferschickt eine präparierte Anfrage an Port 8291 Winbox-Dienstakzeptiert einen Pfad außerhalb seines Ordners Benutzerdatenbankgibt Namen und Passwörter heraus Angreifermeldet sich als Administrator an und ändert Einstellungen Für die ersten drei Schritte ist keine Anmeldung nötig. Ein Update schließt die Lücke, gestohlene Passwörter bleiben aber gültig, bis sie geändert werden. Reichweite und Schaden Die besten Zahlen stammen von Netlab 360. Am 23. und 24. August 2018 durchsuchte das Labor das Internet. Bei mehr als 5 Millionen Geräten war Port 8291 offen, 1,2 Millionen davon waren MikroTik-Geräte. Von diesen waren 370.000, also 30,83 %, noch verwundbar.\nAngreifer hatten viele davon längst gefunden. Netlab zählte nach Internetadressen 239.000 Geräte, auf denen Angreifer einen SOCKS4-Proxy eingeschaltet hatten. Über diese Weiterleitung konnten sie ihren eigenen Datenverkehr schicken, sodass er vom Router zu kommen schien. Auf 7.500 Routern hatten die Angreifer den eingebauten Mitschnitt des Datenverkehrs eingeschaltet. Sie schickten Kopien des Datenverkehrs der Besitzer an ihre eigenen Server. Am meisten interessierten sie sich für die Ports von E-Mail und Dateiübertragungen. Am häufigsten standen diese abgehörten Router in Russland (1.628), im Iran (637) und in Brasilien (615).\nMikroTik-Geräte, deren Winbox aus dem Internet erreichbar war, 23.–24. August 2018 Gefunden1.200.000 Noch verwundbar370.000 Mit einem Proxy, den Angreifer eingeschaltet hatten239.000 Leiteten Datenverkehr an Angreifer weiter7.500 Gezählt nach Internetadressen. Quelle: Netlab 360 (2018).\nAnderen ging es um Geld. Am 31. Juli 2018 bemerkte das Sicherheitsunternehmen Trustwave in Brasilien einen plötzlichen Anstieg von Coinhive. Dieses Skript lässt die Computer von Website-Besuchern eine Kryptowährung schürfen. Die Seiten kamen von MikroTik-Routern. Die Angreifer hatten den Web-Proxy des Routers, eine Funktion zum Weiterleiten von Webanfragen, genutzt, um Fehlerseiten mit dem Skript auszuliefern. Shodan, eine Suchmaschine für Geräte im Internet, fand in Brasilien mehr als 70.000 solcher Geräte. Alle hatten denselben Coinhive-Schlüssel und schürften also für ein einziges Konto. Die ähnliche Suchmaschine Censys fand mehr als 170.000 MikroTik-Geräte mit diesem Schlüssel.\nViele Router blieben jahrelang in der Hand der Angreifer. Im September 2021 beschrieben Qrator Labs und der russische Internetkonzern Yandex ein neues Botnetz namens Mēris. Qrator Labs schützt Websites vor DDoS-Angriffen. Ein Botnetz ist ein Netz aus gekaperten Geräten. Bei einem DDoS-Angriff überfluten sie einen Dienst mit Anfragen, bis er ausfällt. Am 5. September 2021 traf Mēris Yandex mit 21,8 Millionen Anfragen pro Sekunde. Laut den Forschern war das der bis dahin größte Angriff dieser Art in der Geschichte des Internets. Die Geräte schienen von einem einzigen Hersteller zu stammen, MikroTik. Die internen Daten des Botnetzes deuteten auf 250.000 infizierte Geräte hin. MikroTik erklärte, es gebe keine neue Sicherheitslücke. Soweit der Hersteller sehe, „nutzen diese Angriffe dieselben Router, die 2018 kompromittiert wurden“.\nAnfragen pro Sekunde bei den Mēris-Angriffen auf Yandex, 2021 7. August5,2 Mio. 9. August6,5 Mio. 29. August9,6 Mio. 31. August10,9 Mio. 5. September21,8 Mio. Laut MikroTik nutzte das Botnetz Router, die 2018 kompromittiert worden waren. Quelle: Qrator Labs und Yandex (2021).\nIm März 2022 berichtete Microsoft: Die Kriminellen hinter der Schadsoftware TrickBot nutzten gehackte MikroTik-Router, um ihre Steuerserver zu verbergen. Einer der Wege hinein war diese Lücke, auf Routern mit alten Versionen. Cisco Talos fand 2018 die Schadsoftware VPNFilter auf Hunderttausenden Netzwerkgeräten. Auch sie hatte es stark auf MikroTik-Geräte abgesehen, besonders in der Ukraine. Talos nannte diese Lücke als einen möglichen Weg hinein, hatte dafür aber keinen eindeutigen Beweis.\nKeine Quelle nennt eine Zahl zum Schaden. Was die Lauscher mitschnitten und was die Angriffe aus gekaperten Routern ihre Opfer kosteten, ist unbekannt.\nDer Patch und die Reaktion Nach eigenen Angaben entdeckte und behob MikroTik die Lücke am 23. April 2018. Der Hersteller veröffentlichte RouterOS 6.42.1 für den aktuellen Zweig, 6.40.8 für den Bugfix-Zweig und 6.43rc4 für Testversionen. Betroffen waren alle Versionen von 6.29 bis 6.42. Presseberichten zufolge hatten Nutzer eines tschechischen Technikforums kurz zuvor Einbrüche bemerkt. Demnach brauchte MikroTik von ihren Meldungen bis zum Patch weniger als einen Tag. Die öffentliche Kennung der Lücke, CVE-2018-14847, wurde erst am 2. August 2018 veröffentlicht.\nDas Update schloss die Lücke, machte aber nicht rückgängig, was Angreifer schon erbeutet hatten. MikroTik riet den Besitzern, nach dem Update ihre Passwörter zu ändern und den Winbox-Port für Zugriffe aus dem Internet zu sperren. Außerdem sollten sie die Konfiguration auf Einstellungen prüfen, die sie nicht kannten, etwa einen SOCKS-Proxy oder unbekannte Skripte. Im August 2018 griff ein Botnetz Router über die Lücke an. MikroTik wies damals darauf hin, dass der Patch seit April verfügbar war. 2021 wiederholte der Hersteller: „Wenn jemand 2018 dein Passwort erbeutet hat, hilft ein Upgrade allein nicht.“\nDie National Vulnerability Database bewertet die Lücke auf CVSS 3.1 mit 9,1 von 10, also als „kritisch“. Ein Angreifer braucht kein Passwort und kann Daten lesen und verändern, die Lücke allein legt den Router aber nicht lahm. Am 1. Dezember 2021 nahm die US-Cyberbehörde CISA sie in ihren Katalog der nachweislich ausgenutzten Schwachstellen auf. US-Bundesbehörden mussten sie bis zum 1. Juni 2022 beheben. Eine Notfallanweisung oder die höchste nationale Warnstufe belegen die Quellen nicht.","title":"MikroTik Winbox: Die Lücke, die Router-Passwörter preisgab","url":"https://crackthe.net/de/sicherheit/schwachstellen/mikrotik/"}