MikroTik: опасная уязвимость MikroTrick в RouterOS закрыта

Компания MikroTik обнаружила уязвимости в RouterOS под общим кодовым названием MikroTrick, связанные с CVE-2026-67276, CVE-2026-86060 и CVE-2026-67277.

Суть уязвимостей MikroTrick

• CVE-2026-67276. При сопоставлении запроса на SSH-аутентификацию с ключом авторизованного пользователя RouterOS не выполняет полную проверку открытого ключа RSA: система проверяет тип ключа и модуль, но игнорирует значение экспоненты. Поскольку для проверки подписи используется ключ, предоставленный клиентом, злоумышленник, знающий модуль авторизованного ключа RSA, может использовав ключ с экспонентой, равной единице, подделать корректную подпись и открыть SSH-канал команд от имени целевого пользователя, не обладая при этом закрытым ключом.
• CVE-2026-86060. При использовании имён пользователей, начинающихся с запрещённого символа, можно изменить доверенную маску политик RouterOS, что приводит к повышению привилегий. Для эксплуатации уязвимости необходимо инициировать SSH-сессию без аутентификации и получить доступ к вспомогательному процессу входа RouterOS.
• CVE-2026-67277. RouterOS принимает related-соединение btest до того, как соответствующая основная сессия завершит аутентификацию. Неавторизованный клиент может воспользоваться этим состоянием для запуска теста IPv4 UDP.

Уязвимости устранены для RouterOS версий 7.25beta3 (Development), 7.24.2 (Stable), 7.23.4 (LongTerm), 6.49.21.

НЕМЕДЛЕННО ОБНОВИТЕ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ВАШИХ УСТРОЙСТВ ДО ЭТИХ ВЕРСИЙ.

 

Что делать после обновления: проверка статуса flagged

Обязательно проанализируйте состояние устройства.

1. После обновления выполните в терминале команду:

system device-mode print

2. Если в выводе написано flagged: no — явных следов взлома не обнаружено (но всё равно проверьте список пользователей и скриптов). Если flagged: yes — роутер был взломан до обновления.

3. Если система находится в состоянии flagged: yes — текущая конфигурация продолжает работать. Однако выполнение следующих действий становится невозможным:

• запуск инструментов bandwidth-test, traffic-generator и sniffer;
• действия по настройке, включающие активацию или создание новых записей.

При этом отключение или удаление существующих записей по-прежнему возможно для указанных ниже компонентов:

• системный планировщик (scheduler);
• SOCKS-прокси;
• PPTP;
• L2TP;
• IPsec;
• прокси-сервер и SMB.

4. При попытке выполнения описанных действий, будет выведено сообщение об ошибке:

failure: configuration flagged, check all router configuration for unauthorized changes and update device-mode

5. Перед выходом из этого режима крайне важно проверить всю конфигурацию на наличие неизвестных элементов. Если система получила такую пометку, считайте её скомпрометированной и проведите полный аудит всех настроек перед вводом её в эксплуатацию. По завершении смените все системные пароли и обновите RouterOS до последней версии.

6. Чтобы выйти из состояния flagged, необходимо выполнить в терминале:

system device-mode update flagged=no

7. Система потребует либо нажать кнопку, либо выполнить принудительную перезагрузку (физически отключить питание или принудительно перезагрузить виртуальную машину).