MikroTik Releases a Belated, Half-Working Patch to Fix an Old Vulnerability

拉脱维亚路由器软件和硬件制造商MikroTik修复了自2018年4月以来一直在其路由器操作系统设备中处于休眠状态的漏洞。该漏洞与处理IPv6数据包时出现的内存耗尽问题有关，实际上允许外部人员对MikroTik进行DDoS攻击路由器通过部署相对少量的IPv6数据包。

尽管MikroTik的专家在过去的12个月里已经意识到这个问题，但直到上周他们才终于修补了这个问题。延迟可能是由于两个主要原因。首先，该问题仅影响在其基于RouterOS的设备中手动激活IPv6功能的用户。默认情况下禁用该功能，这意味着称为CVE-2018-19299的内存耗尽错误只能产生有限的影响。其次，据报道内存泄漏发生在内核级别，除非MikroTik开发出全新的操作系统，否则几乎无法解决。

幸运的是，补丁现在已成为事实，建议MikroTik的客户尽快将其路由器操作系统升级到新的6.43.14长期版本。对于依赖Mikrotik设备的所有网络运营商而言，这无疑是个好消息。然而，Faelix的首席技术官马雷克·伊萨尔斯基（Marek Isalski）发现这个补丁只对那些运行128MB或更多RAM的MikroTik路由器有用。换句话说，如果您的MikroTik RouterOS设备具有64 MB或更低的RAM，它仍然有可能成为DDoS攻击的牺牲品。拉脱维亚供应商已承诺在未来的RouterOS测试版中优化其低RAM硬件。然而，当这个测试版到来时，目前仍不清楚。在此之前，禁用IPv6功能仍然是最好的防线。

有趣的是，Isalski几乎在一年前首次发现了MikroTik的IPv6漏洞。