CVE-2026-16347
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
MikroTik RouterOS ma słabość w obsłudze uwierzytelniania API, która nie zapewnia skutecznych zabezpieczeń przed nadmiernymi próbami logowania. System nie wymusza znaczącego ograniczania szybkości, blokowania kont ani ograniczeń opartych na źródle, co pozwala na wielokrotne nieudane uwierzytelnienia bez reakcji obronnej. W niektórych wersjach występuje stałe opóźnienie na połączenie, ale można je ominąć poprzez równoczesne sesje, co umożliwia kontynuację prób o dużej objętości.
Ocena ryzyka
Organizacja narażona jest na ryzyko, że atakujący w wyniku ataku brute-force uzyska prawidłowe dane uwierzytelniające i nieautoryzowany dostęp do usług administracyjnych RouterOS.
Rekomendacja
Zaleca się wdrożenie dodatkowych zabezpieczeń, takich jak ograniczenie dostępu do API tylko z zaufanych adresów IP, włączenie logowania i monitorowanie prób logowania, a także rozważenie aktualizacji do wersji z poprawkami, jeśli są dostępne.
Inne podatności w MikroTik RouterOS
Zobacz wszystkie- CVE-2024-27686Wysokie
RouterOS firmy Mikrotik w wersjach od 6.40.5 do 6.49.10 (naprawione w wersji 7) umożliwia zdalnemu atakującemu spowodowanie awarii urządzenia poprzez wysłanie specjalnie przygotowanych danych pakietów do usługi SMB na porcie TCP 445.
- CVE-2026-14227Średnie
W produkcie z włączonym API MikroTik RouterOS występuje podatność na niewystarczające wygasanie sesji. Aktywne sesje mogą zachować poprzednie uprawnienia po upływie limitu czasu bezczynności lub zmianie grup użytkowników.
- CVE-2026-39042Wysokie
W systemie MikroTik RouterOS w wersjach 7.21.x przed 7.21.4 oraz 7.22.x przed 7.22.2 wykryto podatność w funkcji unflatten() biblioteki libumsg.so. Zdalny atakujący może wykorzystać ten błąd do spowodowania odmowy usługi (DoS).
- CVE-2023-47310Średnie
W domyślnej konfiguracji MikroTik RouterOS 7 występuje błąd konfiguracji, który umożliwia przychodzące pakiety IPv6 UDP traceroute. Problem został naprawiony w wersji v7.14.
- CVE-2023-24094Wysokie
Podatność w komponencie bridge2 systemu MikroTik RouterOS w wersji 6.40.5 umożliwia atakującym przeprowadzenie ataku typu Denial of Service (DoS) poprzez wysłanie spreparowanych pakietów.
Oryginalny opis (angielski, źródło NVD)
MikroTik RouterOS contains a weakness in its API authentication handling that lacks effective safeguards against excessive login attempts. The system does not enforce meaningful rate-limiting, account lockout, or source-based restrictions, allowing repeated authentication failures to proceed without defensive response. In some versions, a fixed per-connection delay is present, but it can be bypassed through concurrent sessions, resulting in continued high-volume attempts. This deficiency increases the risk that an attacker could eventually obtain valid credentials and gain unauthorized access to administrative services.