Mikrotik свои обновите, пожалуйста

https://t.me/MikrotikNews/1048

Там много сообщений - я не буду объяснять каждое.

И, к слову, если блокировки дойдут до того, что будут заблокированы апдейты безопасности на всякие вот такие случаи, то я даже думать не хочу, во что превратится "национальный сегмент интернета": в одну большую помойку,состоящую из заражённых устройств и всеобщего хаоса

Убрать право test у пользователей, которым оно не нужно
9. Отключить MAC-Telnet на недоверенных L2-сегментах: /tool mac-server set allowed-interface-list=none

Отличный материал: Ник Пратли 4 сентября 2026 года опубликовал полный разбор “тихого” патча MikroTik. Вот суть.

Что случилось
3 сентября 2026 года MikroTik одновременно выкатил RouterOS 7.23.4 (long-term), 7.24.2 (stable) и 6.49.21 (v6) с одной и той же формулировкой: “важное обновление безопасности, детали пока не раскрываем”. Автор правильно заметил: когда ты выкладываешь пропатченный бинарник на зеркало — ты уже раскрываешь уязвимость. Diff между версиями и есть advisory.

Три уязвимости
1. SSH-пользователь -2 -> полный root
Самая критичная и уже активно эксплуатируемая. В RouterOS SSH-демон передаёт имя пользователя и маску прав в /nova/bin/login как позиционные аргументы. Если имя начинается с -, login воспринимает это как номер файлового дескриптора и читает из него доверенные данные. PTY (псевдотерминал) в SSH использует fd 0, 1, 2. Поэтому:
• Пользователь логинится по SSH с именем -2
• Login читает данные из stderr/PTY (fd 2)
• Атакующий отправляет два NUL-разделённых поля: имя и маску политики
• Маска 654958 = 0x9fe6e = полные права RouterOS
Автор воспроизвёл атаку в лабе: read-only сессия получала полный административный доступ. В логах RouterOS это выглядело как user ops added by ssh:-2@<адрес> — именно это видели администраторы на скомпрометированных роутерах.
Ограничение: SSH должен принять имя -2 при аутентификации. Через локальную базу пользователей это не работает. Через RADIUS или User Manager — работает. Как именно атакующие в реальных инцидентах проходили этот барьер — пока неизвестно.
2. RSA-подпись без приватного ключа (forgery с e=3)
В libucrypto.so функция parseHashFromDerEncoded при проверке PKCS#1 v1.5 подписи не проверяла, что после извлечённого дайджеста в буфере ничего нет. Кроме того, проверка паддинга FF FF FF... не требовала минимального количества байт — достаточно было 00 01 00.
Если для аккаунта авторизован RSA-ключ с экспонентой e=3, атакующий может:
1. Взять публичный ключ (это не секрет)
2. Сформировать префикс: 00 01 00 || DER(SHA-256 DigestInfo) || хэш || мусор
3. Взять кубический корень от этого числа
Кубирование при проверке восстанавливает корректный префикс, мусор в хвосте 7.23.3 игнорировал. Автор подтвердил: SSH-аутентификация без приватного ключа работала на 7.23.3, на 7.23.4 — отказ.
Затронуты все потребители этой функции: SSH, IPsec/IKEv2, TLS (ssld), ACME (cloud).
3. Переполнение стека в mtget через TFTP
В nova/bin/mtget при формировании TFTP-запроса имя удалённого файла копировалось в стековый буфер фиксированного размера через rep movsb без проверки длины. Команда:
/tool fetch url="tftp://10.0.2.2/<длинный путь>" keep-result=no
Это аутентифицированная атака, но право test входит в стандартную группу read. То есть read-only оператор может её выполнить. Автор подтвердил контролируемое перезаписывание EIP и выполнение произвольного ROP-вызова.

Связанные цепочки атак
Цепочка 1: известный публичный RSA e=3 -> подделка SSH-подписи -> аутентифицированный пользователь с правом test -> crafted TFTP URL -> ROP в mtget.
Цепочка 2: SSH принимает имя -2 (через RADIUS/User Manager) -> PTY-инъекция политики -> полные права -> создание пользователя ops в группе full -> опционально mtget.

Дополнительные исправления в 7.23.4
• www: блокировка path traversal (/../)
• SSH/SCP: проверка путей при рекурсивном копировании
• diskd: проверка размеров в локальном RPC
• DHCP: замена небезопасных sprintf на bounded-форматирование
• MAC-Telnet: закрытие скрытого API-транспорта через имя пользователя \x06/login
• В nova/bin/mode добавлен детект и автоочистка следов кампании (пользователь ops, домены mythtime.xyz, leappoach.info, eeongous.com)

Что делать прямо сейчас
1. Обновить до 7.23.4 / 7.24.2 / 6.49.21 или новее
2. Проверить /system/device-mode/print — если flagged: yes, роутер считать скомпрометированным
3. Найти неожиданного пользователя ops в группе full
4. Поискать в логах записи ssh:-2@<адрес>
5. Проверить scheduler на записи с fetch, /poll/<UUID> и import
6. Проверить конфигурацию RADIUS и User Manager
7. Аудит SSH RSA-ключей на предмет e=3 — заменить на Ed25519/ECDSA или RSA e=65537
8.

Гамбург, St. Pauli
То что когда-то давно было таксофоном.
Как видно, не работает, гудка наверняка тоже нет

Порзамка, Вязниковский р-он, Владимирская обл. - гудка нет.

Одно из самых страшных слов в Германии — Datenschutz. Ну, еще Verboten, но к этому быстро привыкаешь.

Так вот — Datenschutz был зверски нарушен корейской корпорацией LG. И не только в Германии:

https://www.drweb.de/lg-smart-tv-ton-heimnetz-datenschutz/

Суть находки. Лаборатория Gamers Nexus проверила несколько актуальных OLED-моделей LG и обнаружила: режим ожидания гасит только экран, электроника продолжает работать. Микрофон при чёрном экране пишет звук, складывает записи локально и отправляет их на серверы при первом же появлении сети. В лаборатории просто выдернули ethernet — записи никуда не делись, ушли позже. Параллельно телевизор сканирует домашнюю сеть и переписывает всё, что к ней подключено: телефоны, часы, соседние точки Wi-Fi.

ACR. Функция распознавания контента у LG называется Live Plus, партнёр по данным — Alphonso. Раз в секунду снимается цифровой отпечаток картинки на экране и сверяется с базой. Работает и по HDMI: приставка, блю-рей-плеер, ноутбук в роли внешнего монитора — всё анализируется так же, как эфир и стриминг. Это подтвердило исследование Ансельми, Векарии и соавторов (2024).

Масштаб. Потенциально затронуто около 216 миллионов проданных телевизоров LG. Рекламное подразделение компании отдельно рапортует о 363 миллионах достижимых дополнительных устройств только в США. LG на публикацию пока не отреагировала.

Прецедент. В 2017 году FTC оштрафовала Vizio примерно на 2,2 миллиона долларов за сбор данных о просмотре с одиннадцати миллионов устройств без согласия. То есть схема не новая, новая только наглость исполнения.

Юридическая сторона в ЕС. И GDPR, и немецкий TDDDG требуют активного согласия до того, как устройство начнёт считывать или сохранять данные. Заводская настройка с включённым по умолчанию ACR под это требование не подходит и юридически уязвима.

Как выключить.
1. Настройки — Общие и Система — отключить Live Plus.
2. Поддержка и Конфиденциальность — снять согласие на передачу пользовательских и рекламных данных.
3. Меню ИИ-сервисов — выключить распознавание речи, если голосовой ассистент не нужен.

Пути в меню отличаются в зависимости от версии webOS.

Отдельным пунктом: ранее выяснилось, что почти каждое второе приложение для смарт-ТВ LG содержало скрытый прокси-SDK, превращающий телевизор в узел для чужого трафика.

Первоисточник — видеоразбор Gamers Nexus: https://www.youtube.com/watch?v=6IFVTcM28KA

Короче, наблюдаем новый скандал и LG прям конкретно попала — их юристы просто разорвут теперь. Ну, и покупать их продукцию я точно больше не буду — ну нахер

Написал тут историю о том, как Госдеп США закрыл хактивистскую итальянскую группу:

https://telegra.ph/Dva-soobshchestva-i-odin-server-09-08

За что: за то же, за что в РФ закрывают всякие ЛГБТ и ненавидят радугу — за то, что не согласны "с линией партии". Только в США поехавший дед почему-то не любит "Антифа". Подробнее в статье.

Башня British Telecom (BT Tower) в Лондоне — 189-метровая телекоммуникационная башня, построенная в 1961–1964 годах по проекту архитекторов Эрика Бедфорда и Г. Йейтса.

В 2024 году BT Group продала башню сети MCR Hotels за 275 миллионов фунтов стерлингов с целью превращения ее в отель.

Ars Technica разобрала пожар на строящемся ИИ-дата-центре Lake Mariner в Сомерсете, штат Нью-Йорк. Сюжет там не столько про пожар, сколько про то, как в этой отрасли устроена ответственность.

В начале июня загорелось недостроенное здание кампуса. Пожарные из Баркера приехали и обнаружили неработающую сигнализацию, отсутствие системы пожаротушения и три неисправных гидранта. Паспорта безопасности материалов сгорели вместе со зданием, так что расчёт шёл в дым, не зная состава горящей химии. Начальник части Стив Матиш описал это как работу вслепую. Пострадавших нет.

Теперь про структуру. Кампус — 3,2 млрд долларов и до 500 МВт на площадке выведенной из эксплуатации угольной станции, строится в режиме "speed to power".

TeraWulf владеет инфраструктурой и эксплуатирует её, а землю арендует у Somerset Operating Company LLC — конторы, на 99,9% принадлежащей собственному гендиректору. Британская Fluidstack сидит на долгосрочной аренде и будет крутить вычисления. Google подпирает её арендные обязательства бэкстопом примерно на 3,2 млрд и держит варранты почти на 14% акций TeraWulf. Спрос на мощности создают Anthropic и другие ИИ-компании.

Железо, деньги, вычисления и репутация лежат в разных карманах, хотя объект один.

TeraWulf на запрос журналистов ответила, что операционная безопасность и готовность к ЧС — её зона ответственности, и что после разбора появились Knox-боксы, дополнительные гидранты и аварийные комплекты с паспортами безопасности. Начальник пожарной части в августе сказал, что гидранты, насколько ему известно, так и не работают.

Отдельный сюжет — обещания. В 2019-м при заявке на льготный тариф от New York Power Authority проект заявлял 165 постоянных рабочих мест, в презентации 2024-го фигурируют 35–40. Это, впрочем, обычная физика отрасли: стройка даёт занятость на пару лет, а эксплуатация сотен мегаватт требует смены операторов и нескольких электриков. Жителям достаются грузовой трафик, разбитые дороги, шум и пыль.

Регуляторных проверок после пожара публично не зафиксировано.

Собственно, к этому всё и сводится. Когда владение, аренда, кредитная поддержка и спрос разложены по разным юрлицам, каждый формально отвечает за свой кусок — и никто не отвечает за объект целиком. Механика при этом не американская, а вполне универсальная.

https://arstechnica.com/features/2026/09/the-ai-data-center-boom-is-causing-new-accountability-problems/