CVE-2026-86060 — تصعيد الصلاحيات قبل المصادقة في خدمة SSH في MikroTik RouterOS إلى سيطرة إدارية كاملة

الملخص

يمكن لمهاجم عن بُعد غير مُصادَق عليه الحصول على سيطرة إدارية كاملة على جهاز MikroTik RouterOS قابل للتأثر من خلال التعامل مع خدمة SSH الخاصة به فقط. لا حاجة إلى بيانات اعتماد، ولا تفاعل من المستخدم، ولا وصول محلي.

بمجرد الحصول على السياسة الكاملة، يمتلك المهاجم نفس صلاحيات مسؤول RouterOS من مجموعة full: قراءة وتعديل كامل الإعدادات، وإنشاء حسابات ذات صلاحيات وأبواب خلفية، وتمكين/تعطيل الخدمات، وإعادة توجيه أو اعتراض حركة المرور، واستخدام الجهاز كنقطة ارتكاز للتوسع داخل الشبكات الداخلية.

الإصدارات المتأثرة

• قابلة للتأثر: RouterOS 6.x و 7.0.0 حتى 7.23.3 (كامل فرعي 6.x و 7.x حتى الإصلاح).
• مُصلَّحة: RouterOS 7.23.4 وما أحدث.

تم التحقق من المشكلة على الإصدارين الرسميين CHR 6.49.20 و CHR 7.21.5 قيد التشغيل في مختبر محلي قائم على QEMU (MikroTik Cloud Hosted Router)، وتم التأكيد إضافيًا على عدد قليل من التركيبات المكشوفة على الإنترنت التي تم الوصول إليها خلال بحث تحقق محدود (التفاصيل محجوبة؛ لا نشر لأجهزة طرف ثالث).

الوصف التقني

الثغرة هي تصعيد صلاحيات قبل المصادقة في خدمة SSH في RouterOS تسمح لعميل SSH غير مُصادَق عليه بالوصول إلى جلسة وحدة تحكم RouterOS بقناع سياسة إدارية كاملة.

الآلية المحددة، ومسارات الكود المتأثرة، وأي قيم تشغيل، كلها محجوبة عن قصد لمنع إعادة الإنتاج. يُوصف فقط التأثير عالي المستوى: يمكن لعميل غير مُصادَق عليه الحصول على سياسة إدارية كاملة دون بيانات اعتماد صالحة.

ملاحظة الإفصاح المسؤول: هذه الوثيقة لا تنشر عن قصد كود استغلال، ولا قيم التشغيل المحددة، ولا وصفة إعادة إنتاج خطوة بخطوة. يتم توفير لقطات شاشة لإثبات المفهوم (انظر أدناه)؛ ولا يتم إصدار أي حمولة عاملة أو كود مصدري.

التأثير

يمنح الهجوم الناجح المهاجم عن بُعد غير المُصادَق عليه صلاحيات إدارية كاملة من مجموعة full على الراوتر. العواقب المرصودة والواقعية:

• قراءة/كتابة كاملة للإعدادات — استخراج أقران BGP/OSPF، وقواعد الجدار الناري، وبيانات اعتماد VPN، وأسرار RADIUS/PPP، والشهادات.
• التلاعب بالحسابات — إنشاء مستخدمين جدد من مجموعة full وأبواب خلفية، وحجب المسؤولين الشرعيين.
• إساءة استخدام الخدمات — تمكين/تعطيل الخدمات، وفتح ثغرات في الجدار الناري، وتمرير حركة المرور عبر وسيط.
• اعتراض / إعادة توجيه حركة المرور — اختطاف DNS، وهجوم رجل في المنتصف على حركة المرور الموجَّهة، وإعادة توجيه حركة الإدارة أو المستخدم.
• الحركة الجانبية — استخدام الراوتر كنقطة ارتكاز داخل الشبكات التي يوجّهها، واستعادة بيانات اعتماد قابلة للاستخدام في أماكن أخرى على الشبكة.
• مواد البوتنت / DDoS — غالبًا ما يتم تجنيد الراوترات ذات السيطرة الكاملة في شبكات DDoS والمسح الضوئي.

نظرًا لأن أجهزة RouterOS تقع على حافة الشبكة (بوابات، ومركزات VPN، ومعدات مزودي الخدمة، وراوترات المؤسسات)، فإن نطاق التأثير عادةً ما يكون أكبر بكثير من مضيف واحد مخترق.

إثبات المفهوم

للحفاظ على سلامة هذا التنبيه للتوزيع العام، لا يتم نشر أي كود استغلال، ولا قيم تشغيل، ولا نص إعادة إنتاج هنا.

• التحقق المخبري: تم التأكيد على MikroTik CHR 6.49.20 و 7.21.5 في مختبر محلي QEMU/Docker. أظهر الإثبات إجراء كتابة (إنشاء مستخدم بسياسة full ثم إزالته لاحقًا) وهو أمر مستحيل على جلسة للقراءة فقط/غير مُصادَق عليها — تم الحصول على سياسة إدارية كاملة قبل المصادقة.

• لقطات شاشة إثبات المفهوم:

  

  

الإصلاح

ترقية RouterOS

تم إصلاح المشكلة في RouterOS 7.23.4 وما بعده.

1. قم بعمل نسخة احتياطية من إعداداتك أولاً:

   root@kitploit:~

   /system backup save name=backup-before-upgrade
   /export file=export-before-upgrade
   

2. قم بالترقية عبر القنوات المعتادة:

   • Winbox / WebFig: System → Packages → Check for updates (أو ارفع ملف routeros-<version>.npk الخاص بمعمارية الراوتر).
   • CLI: راجع الدليل على https://help.mikrotik.com/docs/spaces/ROS/pages/47579159/Upgrade.

3. بعد الترقية، تحقق من الإصدار قيد التشغيل:

   root@kitploit:~

   /system resource print
   

4. عندها فقط فكّر في إعادة تمكين SSH على الواجهات الخارجية (انظر أدناه).

فضّل الترقيع على الحلول المؤقتة. تحديثات الإصدار هي الإصلاح الكامل الوحيد. الحلول المؤقتة أدناه تقلل التعرض لكنها لا تزيل الخلل الأساسي.

الوقاية والتحصين

للأجهزة التي لا يمكن ترقيتها فورًا — وكدفاع متعدد الطبقات للأجهزة المُرقَّعة:

1. قيّد تعرض SSH على الجدار الناري. لا تعرّض SSH للإنترنت أو الشبكات غير الموثوقة. اسمح فقط بعناوين المصادر الموثوقة:

   root@kitploit:~

   /ip firewall filter
   add chain=input protocol=tcp dst-port=22 src-address=192.168.1.0/24 \
       action=accept place-before=1
   add chain=input protocol=tcp dst-port=22 action=drop place-before=2
   

2. عطّل SSH تمامًا حيث لا يكون مطلوبًا. غالبًا ما يكون Winbox و WebFig و API كافية للإدارة؛ فكّر فيما إذا كان يجب تعريض الوصول البعيد إلى CLI على الإطلاق:

   root@kitploit:~

   /ip service disable ssh
   

3. اشترط مصادقة قوية. إذا كان يجب إبقاء SSH ممكّنًا:

   • استخدم المصادقة القائمة على مفاتيح SSH وعطّل مصادقة كلمة المرور حيث أمكن: /user ssh-keys import user=<admin> public-key-file=<file>.
   • لا تستخدم أبدًا كلمات مرور فارغة أو افتراضية (لا سيما حساب admin الافتراضي).
   • اشترط كلمات مرور قوية وقم بتدويرها بانتظام.

4. ضع الإدارة خلف VPN / شبكة إدارة مقسمة. وجّه وصول الإدارة عبر شبكة موثوقة أو VPN بدلاً من التعرض المباشر؛ ينطبق هذا على SSH، و Winbox (8291)، و WebFig/HTTP (80/443)، و RouterOS API (8728/8729)، وأي منافذ SSH مخصصة (3333، 2222، 8022، وغيرها من إعادة التعيين الشائعة تُستخدم بكثرة).

5. راقب مؤشرات الاختراق (انظر الكشف أدناه) وفعّل تسجيل أحداث المصادقة والإعدادات.

6. حافظ على تحديث البرنامج الثابت واشترك في تنبيهات أمان MikroTik: https://mikrotik.com/support/security.

الكشف

علامات على أن هذه الثغرة ربما تمت محاولة استغلالها أو استُغلت على جهاز:

• تغييرات غير متوقعة في الإعدادات: مستخدمون جدد (خاصة من مجموعة full)، وقواعد جدار ناري جديدة تفتح الوصول، وخدمات متغيرة، وحسابات أبواب خلفية غير متوقعة.
• /system identity أو إعدادات DNS أو قواعد التوجيه/الجدار الناري جديدة أو معدّلة لم تقم بها أنت.
• نشاط SSH غير معتاد في سجلات الراوتر، مثل حالات فشل مصادقة متكررة أو جلسات مفتوحة دون حدث تسجيل دخول ناجح مقابل.

فحوصات مفيدة على جهاز قيد التشغيل:

# list users and look for accounts you did not create
/user print detail

# check the log for unusual SSH activity
/log print where topics~"ssh"

إخلاء المسؤولية

تُنشر هذه الوثيقة لأغراض دفاعية وتعليمية — للسماح لمسؤولي أجهزة MikroTik بتقييم التعرض، والتحقق من حالة الترقيع، وتحصين عمليات النشر الخاصة بهم. تفاصيل الاستغلال محجوبة عن قصد، ولا يتم إصدار أي استغلال عامل. اختبر فقط الأنظمة التي تملكها أو المصرح لك بتقييمها.