Дыра (точнее несколько) в мокротиках.

[straus]

От умных людей:

 

-----

СРОЧНО: обновите MikroTik. Всех, кого касается, — касается прямо сейчас

3 сентября MikroTik разом выпустил три ветки RouterOS — 7.23.4, 7.24.2 и 6.49.21 — с одинаковой формулировкой: важное обновление безопасности. Одна из закрытых дыр уже активно эксплуатируется в реальных атаках.

Если у вас стоит MikroTik в любом виде — дома, в офисе, на сети, на позиции, в машине, на вышке — этот пост для вас.

Когда производитель выкладывает исправленную прошивку, он тем самым уже раскрывает уязвимость. Любой берёт старую версию, новую, сравнивает — и разница показывает, что именно чинили. Сравнение версий и есть готовое описание дыры.

Отсчёт уже пошёл. С третьего сентября атакующие знают ровно то же, что и разработчики, и работают по тем, кто не обновился.

Что закрыли, без технических рецептов — только чтобы вы понимали масштаб.

Первое и самое опасное. При определённых настройках входа по SSH можно зайти под пользователем и сразу получить полные права. Не подобрать пароль — обойти проверку как таковую. Это та самая дыра, которую уже используют.

Второе. Подделка криптографической подписи. Если для входа настроен старый тип ключа со слабым параметром, злоумышленник изготовит пропуск, не имея вашего секретного ключа вообще.

Третье. Учётка «только для чтения» — не безопасная. В стандартных правах read сидит одна невинная с виду возможность, через которую read-only оператор способен дотянуться до выполнения произвольного кода. Так что «да у меня там гостевой доступ» — не аргумент.

Это не теория. У атаки уже развёрнутая кампания: на захваченных роутерах заводится лишний пользователь, прописываются чужие адреса управления, роутер начинает жить чужой жизнью. Свежая прошивка умеет находить и вычищать её следы — значит, MikroTik видит эту кампанию в реальных инцидентах прямо сейчас.

Проще говоря: часть роутеров уже не ваши. Вопрос только, ваш ли в их числе.

Что делать: Обновиться. До 7.23.4, 7.24.2, 6.49.21 или новее. Это первый и главный шаг, всё остальное — после.

Проверить, не тронут ли уже роутер. В разделе device-mode есть флаг компрометации: если он поднят, считайте устройство захваченным и дальше действуйте как с заражённым — не просто обновляйте, а переустанавливайте начисто и меняйте все пароли и ключи.

Поискать чужого. Загляните в список пользователей: незнакомая учётка с широкими правами, особенно с именем ops, — прямой признак взлома. В логах ищите странные входы по SSH, где вместо имени стоит что-то вроде минуса с цифрой.

Проверить планировщик. Чужие задания на скачивание чего-либо и на импорт конфигурации — это закладка для возврата даже после обновления.

Осмотреть вход снаружи. Если SSH и веб-морда торчат в интернет — уберите их оттуда сегодня, до всякого обновления. Управление должно быть доступно из вашей сети, а не со всего мира.

Заменить старые ключи. RSA со слабым параметром перевыпустите на современные, а лишнее право доступа заберите у тех, кому оно не нужно.

И проверьте настройки внешней аутентификации, если она есть, — именно через неё проходит первая, самая опасная дыра.

Отдельно для тех, у кого MikroTik работает не дома, а в поле или держит боевой канал.

Ваш роутер — это точка входа во всё, что за ним. Если он под чужим управлением, чужими становятся и трафик, и то, что вы через него считаете защищённым. Здесь цена невыполненного обновления измеряется не в неудобстве.

Никаких «на выходных займусь». Обновление занимает минуты, проверка на компрометацию — ещё несколько. Атакующим, чтобы дойти до вас, нужно ровно столько же.

Разбор конкретных механизмов я сознательно не привожу: инструкция по взлому тут никому не нужна, а вот заплатка нужна всем.

Обновитесь. И передайте тем, у кого тоже стоит эта коробка.

[tcup]

или бэкдора добавили

[straus]

В 07.09.2026 в 05:31, tcup сказал:

или бэкдора добавили

Всё может быть...

Edited September 8 by straus

[jffulcrum]

Critical vulnerabilities in MikroTik RouterOS are being actively exploited. Immediate update recommended | CERT Polska

[alibek]

Прямо страйк.

[jffulcrum]

Ну, месяц назад была грязноватая история с  CVE-2026-59108 в службе PPP. Лабусы тогда задним числом тёрли треды на форуме и release notes. Но трусов всегда бьют с обеих сторон.

[straus]

Подумалось... А у Сааба по его словам тысячи (или десятки тысяч) микротиков. Ему сейчас наверное весело...

[jffulcrum]

Там обновления с приключениями - на ТД и старых девайсах места на флешке может не хватать, слетают конфигурации DHCP сервера

[straus]

То есть, у Сааба сейчас жопа не просто в мыле, а горит с выделением дыма.

 

Ставьте больше микротиков, говорили они... Лучше каждую функцию на отдельный микротик, говорили они...

[alibek]

2 часа назад, jffulcrum сказал:

Там обновления с приключениями - на ТД и старых девайсах места на флешке может не хватать

Да это уже не страйк, а дабл. Или как там это назвать.

 

В 07.09.2026 в 05:31, tcup сказал:

или бэкдора добавили

Пишут, что это чуть ли не первый случай, когда Микротик не только срочное обновление выкатил, но еще и клиентам на телефоны пуш отправил, чтобы обновлялись.

Так что скорее всего это действительно внезапно обнаруженная дыра.

 

Кстати, у меня на микротике настроено что-то вроде автобана (альтернатива fail2ban).

Заметил, что со вчерашнего дня количество записей в бане по превышению лимитов ICMP выросло чуть ли не на порядок.

Обычно за сутки блокировалось два-три десятка адресов, а теперь их пара сотен.

[jffulcrum]

Нам обновлять предстоит порядка тысячи устройств MT у клиентов, начали с роутеров.

[straus]

Ой блин... Мои соболезнования!

Но Сааба хотя бы не жалко.

[VolanD666]

4 часа назад, straus сказал:

Ой блин... Мои соболезнования!

Но Сааба хотя бы не жалко.

Дык у него сеть вымышленная же, ему не страшно... Пострадают те кто повелся на его офигительные истории про неустаревшие технологии и напокупал их...

[straus]

Кстати да. Он заходил на форум, но по этой теме подозрительно молчит.

 

Я тут прикинул. Если на перешивку одного устройства с быстрой проверкой на вшивость тратить 10 минут, то за час один человек справится с 6 устройствами. За 8-часовой рабочий день - 48 штук. За 10 человеко-смен - 480 устройств.

[alibek]

Ну это неправильные расчеты, ведь не обязательно делать все последовательно.

Многие вещи можно делать параллельно.

Думаю, что 100 устройств за рабочий день одному человеку легко доступны, а если правильно все распланировать и автоматизировать, то и 500.

[straus]

Конфигурацию у каждого устройства придётся проверять глазами. И на это уходит основное время.

Кстати, 10 минут для микротика - это я ещё очень оптимистично взял, учитывая количество настроек.

[alibek]

Если у кого-то в сети количество микротиков исчисляется сотнями или тысячами, то скорее всего уже есть какие-то механизмы централизованного управления.

Скорее всего есть какая-то шаблонная конфигурация, к тому же нужно проверять не каждую строчку, а определенные фрагменты (шедулер, VPN-сервер), отличия в которых будут бросаться в глаза.

Я думаю, что за час вполне реально проверить десяток-другой устройств. Открыть десяток консолей и в каждой делать более-менее схожие действия.

[MrNv]

может я что то не так понял но 2 уязвимости это  ssh + если есть пользователь только чтение

1) что если доступ до адресов микротика закрыт acl + мак телнет только в определенном влан?

2) нет учетки только на чтение?

[alibek]

Помнится, что раньше была еще одна уязвимость, обход ограничений ACL на сервисе.

Правда ее уже закрывали ранее, да и ограничения в фаерволе продолжали действовать.

Но все равно это не повод игнорировать проверку и профилактику.

[jffulcrum]

7 часов назад, straus сказал:

Ой блин... Мои соболезнования!

Дык, уже месяц назад проводили по CVE-2026-59108

 

35 минут назад, MrNv сказал:

может я что то не так понял но 2 уязвимости это  ssh + если есть пользователь только чтение

1) что если доступ до адресов микротика закрыт acl + мак телнет только в определенном влан?

2) нет учетки только на чтение?

Есть третья уязвимость, DoS, которая вообще не требует прав. У многих SSH открыт всей внутренней сети, а эначит любая протрояненая машина станет jumpgate. Readonly учетки у нас, например, для бекапа через Oxidized, а у oxidized самого по себе защита никакая

[VolanD666]

Всего то нужно нормальную концепцию VRFов запилить

[jffulcrum]

Дык, пожалуйста

 

 

Просто если ты в этот VRF внешний порт/sub не засунул, нужно тебе ЕЩЕ ЧТО-ТО от него, вечер немедленно становится томным, с манглами, route-leaks и прочими порочными удовольствиями джентльменов. А если тебе в этот VRF надо туннелями ходить... Впрочем, в Циске ты тоже немедленно ощутишь окоп, лошадь, противогаз и необходимость партнёрской позиции...

[alibek]

1 час назад, jffulcrum сказал:

Дык, пожалуйста

Это ROS7? Неужели наконец oob из коробки сделали?

 

Удаленный доступ это всегда компромисс между безопасностью и удобством.

Недавно пришлось помучаться с удаленным доступом в офисную сеть. В заграничном трафике вдруг перестал ходить VPN, даже не знаю, кому за это спасибо сказать. Хорошо был домашний КВН на VPS, с которого я вначале попал на домашний ПК, а потом с домашнего ПК смог зайти в офисную сеть.

[jffulcrum]

2 часа назад, alibek сказал:

Это ROS7

Да. Физически-то порты OOB на свитчах уже давно появились, да и даже на роутерах уже норма (речь про серьезные стоечные решения, не SOHO).

 

 

[Saab95]

В 08.09.2026 в 12:24, straus сказал:

А у Сааба по его словам тысячи (или десятки тысяч) микротиков. Ему сейчас наверное весело...

У нас никаких проблем.

 

В 08.09.2026 в 13:23, straus сказал:

То есть, у Сааба сейчас жопа не просто в мыле, а горит с выделением дыма.

У нас используется прошивка 6 версии, 6.44.5, в ней никаких обозначенных дыр нет, они появились в более свежих прошивках.

И у нас очень много устройств именно старых закупок, которые со старыми версиями работают. Многие устройства более 12 лет работают без проблем.

 

11 часов назад, alibek сказал:

Скорее всего есть какая-то шаблонная конфигурация, к тому же нужно проверять не каждую строчку, а определенные фрагменты (шедулер, VPN-сервер), отличия в которых будут бросаться в глаза.

Да, запрашивается вся конфигурация через export compact, далее можно сравнить данные или сделать поиск по ключевым словам.

 

12 часов назад, straus сказал:

Я тут прикинул. Если на перешивку одного устройства с быстрой проверкой на вшивость тратить 10 минут, то за час один человек справится с 6 устройствами. За 8-часовой рабочий день - 48 штук. За 10 человеко-смен - 480 устройств.

Через ssh можно командами загрузить прошивку с внутреннего FTP сервера, далее перезагрузить устройство. Либо загрузить прошивки на все устройства, а после перезагрузить - это если есть цепочки устройств и перезапуск одного может прервать связь с подключенными за ним. Даже без всяких деревьев подключений можно сделать отложенный перезапуск, например через минуту - тогда команды до всех устройств успеют дойти.

 

12 часов назад, straus сказал:

Он заходил на форум, но по этой теме подозрительно молчит.

Что тут обсуждать - микротик выпускает новые прошивки, в них появляются дыры. Если есть сведения о проблемах с безопасностью, то следовало бы написать, с какой версии ПО эта проблема появилась и кто держит прошивки старее не смогут подвергаться атаке.

 

А так попахивает просто желанием что бы все обновили ПО на последние версии и все.

 

Основные правила безопасности:

1. На все устройства сети можно заходить только изнутри сети.

2. Весь абонентский трафик (IP адреса абонентов) не могут иметь доступ на адреса роутеров.

3. Если нужен доступ извне то выделять отдельный микротик, который только для этой цели используется - если его сломают сразу станет видно.