16.09.2021, aktualisiert um 20:33:35 Uhr

3721

Hunderttausende MikroTik-Router sind seit 2018 angreifbar

Mehrere MikroTik Router angreifbar.
Hier der Link zu Heise: Hunderttausende MikroTik-Router sind seit 2018 angreifbar

Gruß

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 1267958942

Url: https://administrator.de/contentid/1267958942

Ausgedruckt am: 25.11.2024 um 01:11 Uhr

24 Kommentare

Neuester Kommentar

Zitate aus dem Artikel:

"MikroTik empfiehlt weiter, das Web Interface der Router nicht aus dem Internet zugänglich zu machen und die Geräte nur aus dem lokalen Netz zu verwalten."

😂

"Die Lücke wurde bereits im März 2018 mit Firmware-Version 6.42.1 der betreffenden Router abgesichert"

Naja, das kommt halt raus, wenn nerdige HW mit unendlich vielen Optionen aber nem – nicht mal im Ansatz – intuitiven Interface kombiniert.

Was ist denn deiner Meinung nach an der WinBox nicht intuitv ?? Ist doch alles schön Klicki Bunti.
Und warum besteht das gesamte Internet und Großkundennetze aus (für dich) gar nicht intuitiven Cisco und Juniper CLIs ? Irgendwas stimmt also an deiner verquarsten Logik nicht und solche Sätze solltest du besser noch einmal überdenken als sie unreflektiert in einem Administrator Forum zu posten. Vielleicht fehlt dir da schlicht und einfach nur der entsprechende Administrator Horizont, sorry... 😉

Cisco ist vielleicht nicht das beste Beispiel, weil auch nicht besser

Link

Natürlich ist mein - sehr beschränkter Horizont - kein Maßstab.

Nur ... ich zitiere nochmal den Titel: "Hunderttausende MikroTik-Router sind seit 2018 angreifbar"

Ich plädiere deshalb dafür, wir nehmen den Horizont dieser "Administratoren" als Maßstab! 😉

PS: Cisco spielt - wenn man den Pressemeldungen glauben kann - aber wirklich in einer eigenen Liga 😉

https://www.cvedetails.com/vulnerability-list.php?vendor_id=16&produ ...

weil auch nicht besser

KEINER ist ein besseres Beispiel weil die alle irgendwie und irgendwann mal geknackt wurden...

der Horizont dieser "Administratoren" ist der Maßstab

Nein, zeugt aber von der Pseudo Nerd Klientel die rein nur nach Preis kauft. Auch ein Dacia Logan fährt mit einem Lewis Hamilton am Steuer anders als mit Lieschen Müller....

aber wirklich in einer eigenen Liga

Wirklich ? Zumindest kann man deren Produkte beim Lebensmitteldiscounter_kaufen.
Mikrotik wurde da noch nicht gesichtet.

Zitat von @aqui:
...
Nein, zeugt aber von der Pseudo Nerd Klientel die rein nur nach Preis kauft. Auch ein Dacia Logan fährt mit einem Lewis Hamilton am Steuer anders als mit Lieschen Müller....

Beim letzten Rennen, ist er doch wie Lieschen gefahren

Wirklich ? Zumindest kann man deren Produkte beim Lebensmitteldiscounter_kaufen.

Na wenigstens wird da stündlich die "Frische" geprüft – wenn man schon der Werbung glaubt

Mit meiner selbstkritischen Haltung stelle ich mal fest:

Hier und in anderen "Administratoren-Foren" schlagen die "Administratoren" auf, die das mit dem zusammenklicken nach Youtube - oder alternativ dem "Copy-Paste" der CLI-Anleitungen nicht unfallfrei hinbekommen.

Und nur weil der Kram dann anschließend (oder auch vorher) irgendwie läuft, heißt das ja nicht, dass diese ganzen Profis im Anschluss wissen, warum und wieso, bzw. was da unter der Haube eigentlich passiert.

Und wenn ich dann ne "Zertifizierung" eines Herstellers mache klappts zwar ohne Youtube - aber das heißt doch noch lange nicht, dass ich damit "unter die Haube" schaue?! Ich mache dann halt "Best Practice" nach Hersteller-Empfehlung. Bis der merkt, dass er nen Bug programmiert hat(te)

Zitat von @Visucius:

Und wenn ich dann ne "Zertifizierung" eines Herstellers mache klappts zwar ohne Youtube - aber das heißt doch noch lange nicht, dass ich damit "unter die Haube" schaue?! Ich mache dann halt "Best Practice" nach Hersteller-Empfehlung. Bis der merkt, dass er nen Bug programmiert hat(te)

Kommt das nur mir so vor oder verringern die Zertifikate inzwischen nicht sogar den Wert eines Admins? :D Jedenfalls wirkt man dann nicht mehr so ganz "unabhängig" und je nach Zertifikats-"Kette" gehört man ja dann auch eher Cisco oder MS :D

Kommt das nur mir so vor oder verringern die Zertifikate inzwischen nicht sogar den Wert eines Admins? :D

So sollte das nicht klingen.

Nur fällt halt auf, dass es doch ne Menge "Bug-Meldungen" auf Kunden- und auch auf Hersteller-Seite gibt. Und dann wird allenthalber über die Unfähigkeit der betroffenen Administratoren, ITler/-Abteilungen, Entwickler oder Marken hergezogen. Ob das die großen oder die kleinen sind. Da sind dann gleich Schubladen offen. Hauptsache man wars nicht selber.

Und nach 25 Jahren im IT-Umfeld kann ich mich des Eindrucks nicht erwehren, dass jeder - auch oben auf den Ästen - durchaus blinde Flecken hat und dabei die Komplexität von IT-Themen nicht abnimmt.

Klar gibts einige, die erklären können: "Alle doof außer mir" ... nur scheinen das - von außen betrachtet - eher deutlich weniger zu sein als die, die das von sich selber offenbar glauben und auch von den Unternehmen eingesetzt werden. 😉

Und am Ende muss man sich als Hersteller vielleicht mal überlegen, ob ich mit Louis Hamilton alleine als verantwortungsvollen und professionellen Kunden hinreichend Umsatz produzieren kann oder ob da evtl. irgendwas auseinanderklafft ...

(Vielleicht dann doch nur Herausgabe der HW nach Ablegen des klickibunti "Mikrotik-Führerscheins"

)

Das ist ein alter Hut, wer seine Geräte nicht aktualisiert und sie dazu auch nicht bedienen kann, der sollte die Finger davon lassen.
By the way ...
https://forum.mikrotik.com/viewtopic.php?f=21&t=178417
Und wer heutzutage ein Router-Webinterface nach außen hin verfügbar macht der hat es ebenfalls nicht besser verdient, das gilt nicht nur für Mikrotik.
Man gucke nur mal auf die tausenden Exchange Server die immer noch nicht gepatcht sind, selbes Thema, da kann der Hersteller nichts für ...

Weise Worte ! 👍

oder ob da evtl. irgendwas auseinanderklafft ...

Du solltest bei solchen Dingen die Ökonomie nicht aus den Augen verlieren. Wenn man für solche rein Preis Clientel produziert ist es schlicht nicht finanzierbar Pseudo Netzwerkern noch einen kostenlosen Grundkurs in Netzwerk Grundlagen zu geben. Primär ist Mikrotik schon immer ein Hersteller von CPE Equipment und einfachen Core Komponenten im Provider Umfeld. Fokussiert sich also primär auf Provider Kunden mit entsprechendem KnowHow und eben nicht den Consumer Massenmarkt. Dafür sind deren Produkte jedenfalls primär nicht gemacht. Allein das Featureset spricht ja schon dafür wenn man es nur einmal mit der FritzBox, einen klassischen Massenprodukt, vergleicht. Auch das überfordert mindestens 80% aller Laien Anwender schon.
Das auf den MT Zug natürlich auch solche Kunden aufspringen kann und wollen die natürlich nicht verhindern. Diese dann aber auch noch zu schulen weil sie schon am GUI oder CLI oder nur dem Verständnis von Funktionen scheitern, ist jenseits jeder Realität. Eben weil mit den Margen schlicht nicht finanzierbar. Es ist schon aussergewöhnlich welchen Support bzw. Feedback sie auf Kundenfragen schon leisten. Gut, mag dem geschuldet sein das sie zumindestens noch ein europäisches Unternehmen sind im Vergleich zu anderen deren Markt der der Billigconsumer Produkte ist.
Eigentlich sollte man solch einfache Business Dinge schon früher beim Monopoly Spielen gelernt haben und nicht in einem Technik Forum... 😉
Kollege @colinardo hat zum eigentlichen Thema ja schon sehr treffend alles gesagt.

Du meinst - ne automatische Updatefunktion?! Oder ein Hinweis, dass es ein (wichtiges) Update gibt?! Ist preislich einfach nicht realisierbar?!

Ich weiß, das ist natürlich fürchterliches Endanwender-Denken und des wahren "Profis" nicht würdig - nicht mal auf "anhakeln".

Dann hat man am Ende halt ne Botarmee und seinen Firmennamen in der Presse

Alternativ spart man sich halt die Fehler in der Entwicklung, dann muss man dem Kunden die Updates auch nicht aufs Auge drücken. Aber für Fehlerfreiheit muss man schon Cisco-Preise zahlen ... ach nee, irgendwie auch nicht

https://www.cvedetails.com/product/19/Cisco-IOS.html?vendor_id=16

PS: Der Vergleich mit AVM hinkt mal wieder. Wenns da nen "Leck" gibt, kommt ne Sondersendung im Anschluss an die Nachrichten. Bei Mikrotik muss ich mich da selber drum kümmern, dass ich deren Updates hinterherlaufe.

Und ja, das kann man (erwarten) und kann auch ich - aber offenbar viele auch wieder nicht.

Aber lassen wirs. Mein Schaden ist es ja nicht. Und soweit, dass ich mir hier als Dipl. Betriebswirt Wirtschaft erklären lassen muss, ist es ebenfalls noch nicht ...

Naja, das kommt halt raus, wenn nerdige HW mit unendlich vielen Optionen aber nem – nicht mal im Ansatz – intuitiven Interface kombiniert.

Full ACK. Kenne niemanden, der Mikrotik im Business-Bereich nutzt. Und im Home-User-Bereich sind die Dinger für Möchtegern-Netzwerker zu komplex (weil mächtig) und deswegen anfällig für Fehlkonfigurationen.

Kenne niemanden, der Mikrotik im Business-Bereich nutzt.

Das muss ja per se erstmal nichts bedeuten weil keiner hier beurteilen kann welche Perspektive dich zu so einer Aussage befähigt. Solche Statements sind, wie immer, relativ. 😉

Zitat von @Inf1d3l:

Naja, das kommt halt raus, wenn nerdige HW mit unendlich vielen Optionen aber nem – nicht mal im Ansatz – intuitiven Interface kombiniert.

Dito. Ich finde die Geräte von den Specs her top aber ob man das wirklich für zuhause braucht? Die stupide FritzBox reicht halt dann doch irgendwie.

Die stupide FritzBox reicht halt dann doch irgendwie.

Und wem die nicht reicht, ist mit OPNSense oder pfSense besser bedient.

Just my 2 Cents.

Das mit der "Business-HW" wabert ja immer wieder rum. Das interessiert mich jetzt doch. Die einen reden von "Enterprise" andere wie aqui oben von CPE- und einfacher Provider-HW. Laut Wiki:

"... reicht von Geräten für den Heimgebrauch über SoHo-Router bis hin zu Geräten für große Unternehmen wie Access-Points, Core-Routern, Switches und Richtfunk-Lösungen."

Jetzt können die mEn. auch nicht Wasser zu Gold verwandeln. Gerade im unteren Preissegment ist die HW (100Mbit-Ports, 2,4 Ghz only, 600 Mhz-Prozessor...) ja wohl eher nicht fürs Business-Umfeld geschaffen und selbst im Privatumfeld gegenüber den üblichen Verdächtigen technisch (mittlerweile) unterlegen - nur das RouterOS hat dieselbe(?) Funktionsvielfalt wie bei den "großen" Modellen. Wobei RouterOS ne Eigenentwicklung ist, weshalb sich die üblichen Repositories nicht anzapfen lassen und das wiederum Entwicklungskapazitäten bindet.

Hier wird das aber gleichzeitig so dargestellt als ob die HW nur für "Profis" ist - wobei gleichzeitig von Mikrotik Apps wie

https://apps.apple.com/de/app/mikrotik/id1323064830
https://play.google.com/store/apps/details?id=com.mikrotik.android.mikro ...

und sowas hier veröffentlicht wird:
https://www.youtube.com/watch?v=ALo0ISzz4IA
(bei den Stereotypen weiß ich gar nicht wo ich anfangen soll

Meine Generation wurde noch mit BorisBecker gequält)

Ja was denn nun?! Und wenn Soho, dann scheint die Zielgruppe auf Grund der obigen Meldung damit doch ganz offensichtlich etwas überfordert.

toller Artikel (:

Also auf mein Cisco Switch SG 250 musste ich auch die Firmware manuel durchführen, das hat nix mit Mikrotik zu tun. Aus Sicherheitsgründen ist es auch besser so.

Für Business Umfeld würde ich auch auf Cisco gehen, weil das über Jahre weltweit sich durchgesetzt hat.

Mikrotik sieht in meinen Augen billig aus, ( Das Auge isst immer mit), zwar habe ich in einem tr. JOB Anzeige gesehen, dass Sie nur MikrotikOS benutzt. Ich denk mal in Osteuropäische Länder wird Mikrotik in klein Unternehmenbereich benutzt.

Also auf mein Cisco Switch SG 250 musste ich auch die Firmware manuel durchführen

Was jetzt erstmal auch nur heißt, dass ein Switch kein Router ist

Und - 4.068 Vulnerabilities - wie bei Cisco sind natürlich ein herausragendes Qualitätsmerkmal. Denen greift(e) sogar die NSA unter die Arme, damit das besser wird. 😂

https://www.cvedetails.com/vendor/16/Cisco.html
https://www.infoworld.com/article/2608141/snowden--the-nsa-planted-backd ...

Der Cisco Sg 250 ist ein Layer 3 Switch, also Router und Switch ;)

Wow, ne denne haste den bestimmt an Deinem Modem und der sichert Dein LAN gegen "das Unbill" des Internets?! Denn darum gehts ja überwiegend bei Sicherheitsupdates für Router. Ich kenne Switche, die haben ihr Leben lang noch kein "Update" erhalten und machen einfach, was sie sollen. Sind aber natürlich keine Premium-Geräte

Aber mir ist nicht klar, warum hier immer "Cisco" aufgeführt wird?! Ne Firma mit knapp 80.000 MAs bei nem Mikrotik-Thread - nem "Mittelständler" mit rund 300 MAs?! Ich hoffe mal, die Entwicklungsabteilung von Cisco ist um ein vielfaches größer als die von Mikrotik? Und die Zielgruppe dürfte auch ne andere sein?!