MikroTik RCE Tanpa Auth: Tampal RouterOS ke 7.24

MikroTik RCE Tanpa Auth: Tampal RouterOS ke 7.24

Pada 29 September, CISA menerbitkan advisory tentang pepijat kritikal dalam MikroTik RouterOS yang tidak perlukan login, tidak perlukan interaksi pengguna, dan cukup dengan satu permintaan HTTP untuk menyerahkan root kepada penceroboh. Biasanya pepijat seperti ini dapat CVE, satu disclosure awam, dan scramble sepanjang masa. Yang membuat pepijat ini layak dibaca dengan teliti ialah matematik versinya tidak kena — dan cara ia tidak kena itu tepat sekali menimpa mereka yang bulan lalu sudah buat perkara yang betul.

Pepijat ini sebenarnya apa

CVE-2026-84411 ialah integer underflow dalam pengendalian badan permintaan HTTP pada web management service, boleh dicapai sebelum authentication. Penerangan CISA cukup pendek untuk dipetik sepenuhnya:

"The web management service in affected RouterOS versions contains an integer underflow in its HTTP request body handling that is reachable before authentication. This can be leveraged by an unauthenticated network attacker to achieve arbitrary code execution as root, or to cause a denial of service, using a single crafted request."

Ia mendapat 9.8 mengikut CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) dan 9.3 mengikut CVSS 4.0, dikelaskan sebagai CWE-191, Integer Underflow. Vector string itulah yang menghasilkan severity tersebut: boleh dicapai melalui network, tanpa privileges, tanpa interaksi pengguna, dengan kesan penuh pada confidentiality, integrity dan availability. Root, daripada satu paket, pada peranti yang router-nya berada di hulu segalanya yang anda miliki.

Dua butiran dalam advisory itu lebih penting berbanding markah itu sendiri.

Yang pertama ialah laluan disclosure itu. "An anonymous researcher reported this vulnerability to CISA." Bukan kepada MikroTik. Laluan itu memintas vendor sepenuhnya, dan setakat laporan BleepingComputer pada 30 September, vendor masih belum menerbitkan security advisory sendiri, selepas tidak menjawab permintaan penjelasan daripada outlet tersebut.

Yang kedua ialah status eksploitasinya: "No known public exploitation specifically targeting this vulnerability has been reported to CISA at this time." Jadi ini RCE pra-auth root dengan CVSS 9.8 dan setakat ini belum ada exploit awam. Itu sebab yang sangat baik untuk menampal minggu ini, bukan sebab yang selesa untuk menampus akhirnya.

Matematik versi ialah keseluruhan cerita

Ini percanggahannya, dinyatakan dengan jelas. Baris affected products CISA menyenaraikan MikroTik RouterOS: <7.24. Baris remediation CISA menyuruh anda meminda ke ke "version 7.24 or later." Tapi advisory yang sama, mengikut BleepingComputer, turut membawa cadangan vendor supaya meminda ke "version 7.23 or later." Dua pernyataan itu tak boleh betul serentak, sebab 7.23 ada dalam julat yang advisory itucalling affected.

Setakat laporan itu, release terkini ialah 7.24.4 stable dan 7.23.7 long-term, kedua-duanya keluaran sejak 16 September, dan tiada CISA mahupun MikroTik yang menjawab soalan tentang perbezaan itu. Kalau anda jenis operator yang baca julat affected lalu berhenti pada versi pertama yang kedengaran selamat, anda sedang membuat kesilapan.

Kalau anda tampal bulan lalu, ada kemungkinan masih terdedah

Sebab advisory MikroTik yang lain dari September 2026 ialah yang benar-benar ada penyerang di dalamnya. CERT Polska menamakan chain yang dieksploitasi secara aktif sebagai "MikroTrick", dibina daripada dua pepijat SSH: CVE-2026-67276, authentication bypass akibat pengesahan RSA public key yang tidak lengkap, dan CVE-2026-86060, privilege escalation yang dicetuskan oleh username yang direka khas. Rangkai kedua-duanya dan awak boleh mendapat kawalan administrative penuh terhadap router tanpa pernah memegang private key.

MikroTik menghantar fix dalam 7.25beta3, 7.24.2, 7.23.4 dan 6.49.21 pada 3 September, dan CERT Polska mengesahkannya. Setiap operator dengan SSH terdedah dari internet sepatutnya mengambil kemas kini itu.

Sekarang tengok nama branch. Channel long-term ialah 7.23, dan point release semasa ialah 7.23.7. Dalam julat affected CISA untuk CVE-2026-84411, 7.23.7 ada di bawah 7.24. Jadi network yang kemas kini branch long-term dengan betul, pada September, untuk menutup chain SSH yang dieksploitasi secara aktif, sedang berada pada versi yang menurut advisory integer underflow pra-auth itu masih rentan.

branch        current    CVE-2026-67276 / 86060   CVE-2026-84411
                                                            (CISA: <7.24)
------------  ---------  ------------------------  ---------------
stable        7.24.4     fixed 7.24.2             above range
long-term     7.23.7     fixed 7.23.4             inside range
6.x           6.49.21    fixed 6.49.21            below range

Branch feature ialah satu-satunya baris tempat fix 3 September dan fix 29 September menunjuk arah yang sama. Itu jadual, bukan angka menakutkan, dan ia perkara paling berguna dalam mana-mana satu daripada dua advisory itu. Ambil ketidakpastian itu dengan serius: dengan vendor senyap dan julat affected bercanggah sendiri, "inside range" ialah bacaan yang patut anda perancang-around.

Rancang kemungkinan anda sudah ditumpu

Advisory CISA itu hanya meliputi satu CVE sahaja. Ia tidak memberitahu anda sama ada MikroTrick sudah sampai ke router awak. Panduan CERT Polska tentang perkara itu ialah bahagian yang patut disimpan.

Ia membekalkan beberapa indicators: baris log yang berbunyi login failure for user -2 from <ip> via ssh dan user <name> added by ssh:-2@<ip>. Satu akaun ops yang berprivilege tinggi dan anda tidak pernah cipta. Dan dua alamat: 82.192.72.4, yang berkaitan dengan serangan berjaya yang disahkan, serta 103.102.31.18, yang dilihat cuba mengeksploitasi MikroTrick. Untuk skala, data ShadowServer Foundation meletakkan bilangan peranti MikroTik dengan SSH terdedah ke internet pada 122,500 setakat 5 September.

Ada satu had pada tooling baharu anda sendiri. Kemas kini 3 September menambah mekanisme pengesanan compromise yang menyemak tanda perubahan konfigurasi tanpa kebenaran semasa startup, mematikan entri berbahaya dan menulis warning kritikal dalam log. CERT Polska memberi amaran bahawa ketiadaan penanda itu bukan jaminan router anda bersih — banner startup yang bersih bukan bukti ia bersih.

Jika compromise disyaki, laluan yang disyorkan bukan patch. Asingkan peranti itu, kekalkan log dan konfigurasi, factory-reset, bina semula daripada konfigurasi yang dipercayai, dan rotate password, key serta rahsia lain — kerana apa-apa yang boleh dicapai router itu kini ada dalam tangan orang lain. Nota kami tentang menampal sebelum menyimpan bukti membincangkan ketegangan yang sama dari arah sebaliknya.

Apa yang perlu dibuat

1. Pindah ke branch stable 7.24, dan ambil point release terkini. Itu 7.24.4 setakat 16 September. Ia satu-satunya baris yang kedua-dua advisory September menunjuk arah yang sama.
2. Berhenti mempercayai channel long-term sebagai setara. Jika dasar mewajibkan sokongan long-term, anggap 7.23.x membawa RCE pra-auth yang masih terbuka sehingga MikroTik atau CISA memberitahu sebaliknya secara bertulis.
3. Kecilkan permukaan web management sekarang, bukan selepas menampal. Panduan CISA ialah jauhkan antara muka pengurusan dari internet sepenuhnya, di sebalik firewall, diasingkan dari business network, dengan VPN untuk remote access dan dikemas kini. CERT Polska menasihati supaya operator yang tidak dapat mengemas kini sekarang, restrict atau matikan perkhidmatan SSH, WWW/WWW-SSL dan bandwidth-test yang boleh dicapai dari luar.
4. Cari jejak sebelum menampal. Grep log anda untuk baris SSH -2 dan akaun ops, dan semak kedua-dua alamat. Anda tidak boleh melakukan ini selepas factory reset.
5. Rotate rahsia pada apa-apa yang boleh dicapai peranti itu. Bukan kerana integer underflow itu mencurinya — tiada siapa tahu lagi — tetapi kerana router yang boleh dicapai, belum ditampal dan terdedah ke internet ialah router yang patut diasumsikan dibaca.

Kalau anda mahu bentuk kelas kegagalan ini dan bukan satu contoh, pillar kami tentang RCE pra-auth dan yang dieksploitasi menerangkan apa yang sebenarnya dibeli oleh 9.8 tanpa login. Namun, bila peranti yang belum ditampal itu memegang data peribadi, kewajiban yang mengikutinya bukan pilihan — itu soalan PDPA yang langkah rotate itu sebenarnya menjawab.

Sumber

• CISA ICS Advisories: ICSA-26-272-06: MikroTik RouterOS
• BleepingComputer: CISA warns of critical pre-auth RCE flaw in MikroTik RouterOS
• BleepingComputer (carrying CERT Polska reporting): Hackers exploit new MikroTik RouterOS flaws to hijack routers