CVE-2026-67281
WysokieCVSS 8.7Streszczenie
RouterOS WebFig zawiera nieuwierzytelnioną podatność na odczyt plików w ścieżce /jsproxy, gdzie nowo utworzona sesja zachowuje nieaktualny, niezainicjalizowany wskaźnik principal używany do autoryzacji plików. Nieuwierzytelniony atakujący może przygotować alokator tak, aby ścieżka serwowania plików wyłuskała ten wskaźnik z wystarczającymi uprawnieniami, a następnie dostarczyć składniki katalogu nadrzędnego w zaszyfrowanym URI, aby uciec z przestrzeni nazw plików WebFig i ujawnić pliki należące do roota, w tym magazyny konfiguracji zawierające poświadczenia. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać poufne pliki, w tym konfiguracje z poświadczeniami, co może prowadzić do pełnej kompromitacji routera i sieci.
Rekomendacja
Zaktualizuj RouterOS do jednej z podanych wersji naprawczych.
Inne podatności w RouterOS
Zobacz wszystkie- CVE-2026-67279Średnie
RouterOS SSH przechodzi do protokołu połączenia po rekey żądanym przez klienta, nawet jeśli uwierzytelnienie użytkownika nigdy nie zostało przeprowadzone, co pozwala nieuwierzytelnionemu klientowi otworzyć kanał sesji i wysłać żądanie exec. W dotkniętych wersjach serwer wykonuje polecenie, umożliwiając nieuwierzytelnione tworzenie, nadpisywanie i odtwarzanie plików w zarządzanej przestrzeni plików RouterOS, w tym plików pomocniczych zawierających dane konfiguracyjne i diagnostyczne. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-67278Średnie
MikroTik RouterOS akceptuje nieprawidłowe podpisy RSA/PKCS#1 v1.5 podczas walidacji X.509. Ponieważ magazyn zaufania zawiera certyfikat główny z e=3, atakujący kontrolujący lub przekierowujący wychodzące połączenie TLS RouterOS może użyć publicznego certyfikatu głównego - bez jego klucza prywatnego - do sfałszowania zaufanego certyfikatu pośredniego i wydania certyfikatów dla dowolnych nazw hostów, umożliwiając podszywanie się pod serwer TLS. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-67277Wysokie
RouterOS akceptuje połączenie "related" btest przed zakończeniem uwierzytelniania odpowiedniej sesji głównej. Nieuwierzytelniony klient może wykorzystać ten stan do rozpoczęcia testu IPv4 UDP. Przy "random-data=false" nadawca transmituje niezainicjalizowany ogon z bufora pakietów jądra. Osobny, niesprawdzony, odwrócony interwał rozmiaru pakietu powoduje niedomiar liczby całkowitej bez znaku, anomalnie duży fragmentowany wynik i może zrestartować jądro RouterOS. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-86060Krytyczne
RouterOS zawiera błąd w obsłudze argumentów w ścieżce logowania SSH dotyczący nazw użytkowników rozpoczynających się od zabronionego znaku, co pozwala na zmianę zaufanej maski polityki RouterOS, prowadząc do eskalacji uprawnień. Eksploitacja wymaga nieuwierzytelnionej sesji SSH, aby dotrzeć do pomocnika logowania RouterOS. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-67276Krytyczne
RouterOS nie porównuje całego klucza publicznego RSA podczas dopasowywania żądania uwierzytelnienia SSH do autoryzowanego klucza użytkownika, sprawdzając typ klucza i moduł, ale pomijając wykładnik. Ponieważ weryfikacja podpisu używa klucza dostarczonego przez klienta, atakujący znający autoryzowany moduł RSA może dostarczyć klucz z wykładnikiem jeden, sfałszować ważny podpis i otworzyć kanał poleceń SSH jako docelowy użytkownik bez klucza prywatnego. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
Oryginalny opis (angielski, źródło NVD)
RouterOS WebFig contains an unauthenticated file-read vulnerability in the /jsproxy path where a newly allocated session retains a stale uninitialized principal pointer used for file authorization. An unauthenticated attacker can prepare the allocator so that the file-serving path dereferences this pointer with sufficient rights, then supply parent-directory components in an encrypted URI to escape the WebFig file namespace and disclose root-owned files, including configuration stores containing credentials.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)