Názory k článku
MikroTik má chybu v IPv6 stacku, upravený paket může shodit zařízení

@markim the creator of the CVE states in the post above yours, that the first CVE 19299 was not fixed by this beta.

Mohl byste být prosím věcný a profesionální? Díky. Psal jsem reakci v sobotu, tohle vyšlo až dnes. Ale stejně bude dobré si počkat na vyjádření autora exploitu, protože to není poprvé, kdy opravu vyvrátil a odkázal na tiket, který podal. Zdá se totiž, že Mikrotik má problém ve svých interních postupech (release managment, security response, sledování bugreportů apod).

Vědí o tom cca rok a oprava je součástí beta verze, přičemž za pár dnů jdou ven detaily. Ke spokojenosti není důvod.

Ještě navíc Mikrotikové provalili podstatu exploitu ještě před oficiálním odhalením. Vůbec nejednají profesionálně :-(

Jak se dá rozumět vyjádření, že je těžké napravit jaderný problém? Je to atomová věda? Nebo to znamená, že Mikrotik si nechce pálit prsty vývojem jádra a počká si, až to vyřeší jiní?

Mikrotik sleduji už mnoho let a líbí se mi jejich tah na branku. Za málo peněz hodně muziky.

Na druhé straně si kladu otázku, jestli se jedná o udržitelný vývoj. Doposud využívali (stejně jako jiní) plody práce mnoha ostatních. To přineslo rychlý vzestup se vzestupem linuxu, ale může to taky předznamenávat hluboký pád ve chvíli, kdy "free" linux už nebude stačit na to být konkurenční výhodou. (Podobně by se dala přirovnat VMWare, která má ale podle všeho úplně jiný poměr nákladů a zisků).

Má o tomto někdo nějaký postřeh?

Nepoznam deaily o MikroTiku a jeho dev teame ale myslim si, ze mikrotik nestoji len na vyhodach free linuxu. Free linux je dobry na start a Mikrotik je tu dost dlho a podla mna otazka prezitia Mikrotiku nestoji na free linuxe. Ine firmy vyuzivaju plody prace inych (napr. BSD). Vdaka existencii linuxu(a podobnych projektov) ma konkurencia lahsi vstup na trh a to si myslim je vyhoda pre nas zakaznikov.
Pozri si kolko neopravenych chyb maju aj tie najznamejsie svetove firmy vyrabajuce sietovy HW. Neospravedlnujem tymMikrotik ale len poukazujem na to, ze niesu vynimka a zeby mali na tom padnut.

Používají staré jádro a bugfix je k dispozici na novější jádra, kde už je to nejspíše řešené jinak. Není proto triviální aplikovat opravu/patch (možná ho ani nejde přizpůsobit). Navíc mají problém propojit tiket od autora reportu se svým security response teamem, jak vyplývá z jejich komunikace (a autor exploitu nechce dát před zveřejněním k dispozici nástroj na provedení útoku).

Mikrotik spíš trefil přesně to, co určitá část trhu potřebuje. Velmi levné, relativně spolehlivé zařízení, které lze snadno nakonfigurovat . Neumí asi nic, co by se nadalo udělat v libovolné distribuci linuxu, ale člověk to dostane pod nos předpřipravené, nemusí trávit hodiny studiem toho, jak nastavit konfiguráky....

Pokud vím, Mikrotik používá vlastní upravené jádro a má ho v tuto chvíli zakonzervované na nějaké pár let staré verzi. Nehodnotím, nějaké důvody k tomu asi mají, každopádně v této situaci těžko mohou čekat až to opraví někdo jiný, protože co si na tom neudělají sami, to mít nebudou...