CVE-2026-14227
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W produkcie z włączonym API MikroTik RouterOS występuje podatność na niewystarczające wygasanie sesji. Aktywne sesje mogą zachować poprzednie uprawnienia po upływie limitu czasu bezczynności lub zmianie grup użytkowników.
Ocena ryzyka
Uwierzytelniony użytkownik, którego uprawnienia zostały zmniejszone, może nadal uzyskiwać dostęp do informacji, do których nie powinien mieć dostępu, co prowadzi do naruszenia kontroli dostępu.
Rekomendacja
Zaleca się aktualizację RouterOS do wersji, w której poprawiono mechanizm wygasania sesji oraz wymuszenie ponownego uwierzytelnienia po zmianie uprawnień.
Inne podatności w MikroTik RouterOS
Zobacz wszystkie- CVE-2024-27686Wysokie
RouterOS firmy Mikrotik w wersjach od 6.40.5 do 6.49.10 (naprawione w wersji 7) umożliwia zdalnemu atakującemu spowodowanie awarii urządzenia poprzez wysłanie specjalnie przygotowanych danych pakietów do usługi SMB na porcie TCP 445.
- CVE-2026-16347Wysokie
MikroTik RouterOS ma słabość w obsłudze uwierzytelniania API, która nie zapewnia skutecznych zabezpieczeń przed nadmiernymi próbami logowania. System nie wymusza znaczącego ograniczania szybkości, blokowania kont ani ograniczeń opartych na źródle, co pozwala na wielokrotne nieudane uwierzytelnienia bez reakcji obronnej. W niektórych wersjach występuje stałe opóźnienie na połączenie, ale można je ominąć poprzez równoczesne sesje, co umożliwia kontynuację prób o dużej objętości.
- CVE-2026-39042Wysokie
W systemie MikroTik RouterOS w wersjach 7.21.x przed 7.21.4 oraz 7.22.x przed 7.22.2 wykryto podatność w funkcji unflatten() biblioteki libumsg.so. Zdalny atakujący może wykorzystać ten błąd do spowodowania odmowy usługi (DoS).
- CVE-2023-47310Średnie
W domyślnej konfiguracji MikroTik RouterOS 7 występuje błąd konfiguracji, który umożliwia przychodzące pakiety IPv6 UDP traceroute. Problem został naprawiony w wersji v7.14.
- CVE-2023-24094Wysokie
Podatność w komponencie bridge2 systemu MikroTik RouterOS w wersji 6.40.5 umożliwia atakującym przeprowadzenie ataku typu Denial of Service (DoS) poprzez wysłanie spreparowanych pakietów.
Oryginalny opis (angielski, źródło NVD)
An API session‑management flaw in products with the MikroTik RouterOS API enabled are vulnerable to a Insufficient Session Expiration vulnerability. This could allow active sessions to retain their previous permission set after inactivity timeouts or user‑group changes. As a result, an authenticated user whose permissions have been reduced may continue accessing information.