Auteur Sujet: Mise à jour version 7.9.1 dispo pour corriger une vulnérabilité (Lu 2306 fois)

Hugues · « **Réponse #12 le:** 24 mai 2023 à 16:54:06 »

Non, le routeur il te répond bien avec une IP.

Ben voila

zoc · « **Réponse #13 le:** 25 mai 2023 à 07:48:12 »

Merci pour l’info @Hugues, même si en fait je m’en doutais un peu vu les configurations Mikrotik qu’on trouve pour remplacer la LB où le paramètre « add default route » est activé dans la config dhcp.

Je vais ajuster ma conf en conséquence sur mon CCR qui n’est toujours pas en prod… et où j’avais activé l’écoute des RA…

fttmeh · « **Réponse #14 le:** 25 mai 2023 à 18:00:18 »

Citation de: Hugues le 24 mai 2023 à 16:01:47

Je confirme que les mikrotik en dhcpv6-client n'utilisent pas les RA pour ajouter la route par défaut, donc je doute que ce soit exploitable dans ce cas

Le client DHCPv6 de RouterOS fixe une route par défaut (l'adresse du serveur DHCPv6) si l'option "Add Default Route" est activée. Sinon, le router va écouter les RA.

On peut tout à fait avoir l'option add default route et ne pas accepter les RA pour sécuriser le routeur.

Fyr · « **Réponse #15 le:** 25 mai 2023 à 19:15:52 »

Citation de: fttmeh le 25 mai 2023 à 18:00:18

Le client DHCPv6 de RouterOS fixe une route par défaut (l'adresse du serveur DHCPv6) si l'option "Add Default Route" est activée. Sinon, le router va écouter les RA.

On peut tout à fait avoir l'option add default route et ne pas accepter les RA pour sécuriser le routeur.

les RA sont inroutables et uniquement dans le scope link-local. Si tu reçois des réponses de RA rogues c'est que le réseau de l'opérateur à un problème beaucoup plus grave. (Cf les fuites dans le 91 avec le dégueuli des routeur K-Net... et la non isolation du réseau.)

Hugues · « **Réponse #16 le:** 25 mai 2023 à 19:25:17 »

Il dit qu'il voit pas le rapport avec le message que tu cites

Fyr · « **Réponse #17 le:** 25 mai 2023 à 20:32:54 »

"...et ne pas accepter les RA pour sécuriser le routeur."

Hugues · « **Réponse #18 le:** 25 mai 2023 à 20:42:33 »

Mais mais mais

Tu as lu le premier post du thread ??

Fyr · « **Réponse #19 le:** 25 mai 2023 à 20:46:39 »

Citation de: Hugues le 25 mai 2023 à 20:42:33

Mais mais mais

Tu as lu le premier post du thread ??

ça concerne les RA reçus via n'importe quelle interface. Dont ton LAN. Les chances que le RA de ton FAI conduise à l'exécution de code arbitraire de sa part son faible à nulle.

fttmeh · « **Réponse #20 le:** 25 mai 2023 à 20:51:19 »

Citation de: Fyr le 25 mai 2023 à 20:32:54

"...et ne pas accepter les RA pour sécuriser le routeur."

Je voulais dire qu'il est possible de sécuriser son routeur (même si la possibilité de se faire avoir utilisant cette faille est très faible, en raison du setup nécessaire pour arriver en link-local au routeur) en désactivant l'option accept-router-advertisements (https://blog.mikrotik.com/security/cve-2023-32154.html).

Code: [Sélectionner]

ipv6/settings/ set accept-router-advertisements=no

Hugues · « **Réponse #21 le:** 25 mai 2023 à 20:52:53 »

Ce qui est la config de base d'un routeur mikrotik, rappelons le.

Fyr · « **Réponse #22 le:** 25 mai 2023 à 21:10:27 »

Citation de: Hugues le 25 mai 2023 à 20:52:53

Ce qui est la config de base d'un routeur mikrotik, rappelons le.

Ça doit être à cause de la RFC 6204 au W-3 pour les "Customer Edge Routers"

W-3: Absent other routing information, the IPv6 CE router MUST use
Router Discovery as specified in [RFC4861] to discover a
default router(s) and install default route(s) in its routing
table with the discovered router's address as the next hop.

La RFC 4861 c'est les Neighbor Discovery for IP version 6 (IPv6) dont les RTSOL/RA. Mais chez Mikrotik c'est pas discriminant sur l'interface à ouvrir aux RA.

Les autres routeurs "normaux" dès que le forwarding est enclenché ça ignore les RA.

Hugues · « **Réponse #23 le:** 25 mai 2023 à 21:11:46 »

Ben chez Mikrotik c'est désactivé (et je trouve ça très bien) si le forwarding est activé