CVE-2026-86060 — MikroTik RouterOS SSH प्री-ऑथेंटिकेशन प्रिविलेज एस्केलेशन से पूर्ण प्रशासनिक नियंत्रण तक

सारांश

एक अनऑथेंटिकेटेड रिमोट हमलावर केवल SSH सेवा के साथ इंटरैक्ट करके एक भेद्य MikroTik RouterOS डिवाइस का पूर्ण प्रशासनिक नियंत्रण प्राप्त कर सकता है। कोई क्रेडेंशियल, कोई उपयोगकर्ता इंटरैक्शन और कोई स्थानीय पहुँच की आवश्यकता नहीं है।

एक बार पूर्ण पॉलिसी प्राप्त होने के बाद, हमलावर के पास full-ग्रुप RouterOS प्रशासक के समान विशेषाधिकार होते हैं: संपूर्ण कॉन्फ़िगरेशन पढ़ना और संशोधित करना, विशेषाधिकार प्राप्त खाते और बैकडोर बनाना, सेवाओं को सक्षम/अक्षम करना, ट्रैफ़िक को रीडायरेक्ट या इंटरसेप्ट करना, और डिवाइस का उपयोग आंतरिक नेटवर्क में घुसने के लिए फ़ुटहोल के रूप में करना।

प्रभावित संस्करण

• भेद्य: RouterOS 6.x और 7.0.0 से 7.23.3 तक (पूरी 6.x और 7.x शाखाएँ फिक्स तक)।
• ठीक किया गया: RouterOS 7.23.4 और नया।

यह समस्या आधिकारिक CHR 6.49.20 और CHR 7.21.5 रिलीज़ के विरुद्ध स्थानीय QEMU-आधारित लैब (MikroTik Cloud Hosted Router) में चल रही थी, और इसके अतिरिक्त सीमित सत्यापन शोध के दौरान पहुँचे गए कुछ इंटरनेट-एक्सपोज़्ड इंस्टॉलेशन के विरुद्ध भी पुष्टि की गई (विवरण रोके गए; तृतीय-पक्ष होस्ट का कोई प्रकाशन नहीं)।

तकनीकी विवरण

यह भेद्यता RouterOS SSH सेवा में प्री-ऑथेंटिकेशन प्रिविलेज एस्केलेशन है जो एक अनऑथेंटिकेटेड SSH क्लाइंट को पूर्ण प्रशासनिक पॉलिसी मास्क के साथ RouterOS कंसोल सत्र तक पहुँचने की अनुमति देती है।

विशिष्ट तंत्र, प्रभावित कोड पथ और कोई भी ट्रिगर मान जानबूझकर रोके गए हैं ताकि पुनरुत्पादन को रोका जा सके। केवल उच्च-स्तरीय प्रभाव का वर्णन किया गया है: एक अनऑथेंटिकेटेड क्लाइंट वैध क्रेडेंशियल के बिना पूर्ण प्रशासनिक पॉलिसी प्राप्त कर सकता है।

जिम्मेदार प्रकटीकरण नोट: यह दस्तावेज़ जानबूझकर नहीं प्रकाशित करता है एक्सप्लॉइट कोड, विशिष्ट ट्रिगर मान, या चरण-दर-चरण पुनरुत्पादन नुस्खा। प्रूफ-ऑफ-कॉन्सेप्ट स्क्रीनशॉट प्रदान किए गए हैं (नीचे देखें); कोई कार्यशील पेलोड या स्रोत कोड जारी नहीं किया गया है।

प्रभाव

एक सफल हमला अनऑथेंटिकेटेड रिमोट हमलावर को राउटर पर पूर्ण full-ग्रुप प्रशासनिक विशेषाधिकार देता है। देखे गए और यथार्थवादी परिणाम:

• पूर्ण कॉन्फ़िगरेशन पढ़ना/लिखना — BGP/OSPF पीयर, फ़ायरवॉल नियम, VPN क्रेडेंशियल, RADIUS/PPP सीक्रेट, प्रमाणपत्र डंप करें।
• खाता हेरफेर — नए full-ग्रुप उपयोगकर्ता और बैकडोर बनाएँ, वैध प्रशासकों को लॉक आउट करें।
• सेवा दुरुपयोग — सेवाओं को सक्षम/अक्षम करें, फ़ायरवॉल छेद खोलें, ट्रैफ़िक प्रॉक्सी करें।
• ट्रैफ़िक इंटरसेप्शन / रीडायरेक्शन — DNS हाइजैकिंग, रूटेड ट्रैफ़िक पर MITM, प्रबंधन या उपयोगकर्ता ट्रैफ़िक को रीडायरेक्ट करना।
• लेटरल मूवमेंट — राउटर का उपयोग उन नेटवर्क में पिवट पॉइंट के रूप में करना जिन्हें यह रूट करता है, और नेटवर्क पर कहीं और उपयोग करने योग्य क्रेडेंशियल पुनर्प्राप्त करना।
• बॉटनेट / DDoS सामग्री — पूर्ण नियंत्रण वाले राउटर अक्सर DDoS और स्कैनिंग बॉटनेट में भर्ती किए जाते हैं।

चूँकि RouterOS डिवाइस नेटवर्क एज पर स्थित होते हैं (गेटवे, VPN कंसेंट्रेटर, ISP CPE, एंटरप्राइज़ राउटर), ब्लास्ट रेडियस आमतौर पर एकल समझौता किए गए होस्ट से बहुत बड़ा होता है।

प्रूफ ऑफ कॉन्सेप्ट

इस एडवाइज़री को सार्वजनिक वितरण के लिए सुरक्षित रखने के लिए, यहाँ कोई एक्सप्लॉइट कोड, कोई ट्रिगर मान, और कोई पुनरुत्पादन स्क्रिप्ट प्रकाशित नहीं की गई है।

• प्रयोगशाला सत्यापन: MikroTik CHR 6.49.20 और 7.21.5 पर स्थानीय QEMU/Docker लैब में पुष्टि की गई। प्रमाण ने एक राइट क्रिया प्रदर्शित की (एक full-पॉलिसी उपयोगकर्ता का निर्माण और बाद में हटाना) जो एक रीड-ओनली/अनऑथेंटिकेटेड सत्र के लिए असंभव है — पूर्ण एडमिन पॉलिसी प्री-ऑथ प्राप्त की गई थी।

• प्रूफ-ऑफ-कॉन्सेप्ट स्क्रीनशॉट:

  

  

फिक्स

RouterOS अपग्रेड करें

यह समस्या RouterOS 7.23.4 और बाद के संस्करणों में ठीक की गई है।

1. पहले अपना कॉन्फ़िगरेशन बैकअप करें:

   root@kitploit:~

   /system backup save name=backup-before-upgrade
   /export file=export-before-upgrade
   

2. सामान्य चैनलों के माध्यम से अपग्रेड करें:

   • Winbox / WebFig: System → Packages → Check for updates (या राउटर की आर्किटेक्चर के लिए routeros-<version>.npk अपलोड करें)।
   • CLI: मैनुअल देखें https://help.mikrotik.com/docs/spaces/ROS/pages/47579159/Upgrade।

3. अपग्रेड के बाद, चल रहे संस्करण को सत्यापित करें:

   root@kitploit:~

   /system resource print
   

4. तभी बाहरी इंटरफ़ेस पर SSH को पुनः सक्षम करने पर विचार करें (नीचे देखें)।

वर्कअराउंड की तुलना में पैचिंग को प्राथमिकता दें। संस्करण अपडेट ही एकमात्र पूर्ण फिक्स है। नीचे दिए गए वर्कअराउंड एक्सपोज़र को कम करते हैं लेकिन अंतर्निहित खामी को दूर नहीं करते।

रोकथाम और हार्डनिंग

उन डिवाइसों के लिए जिन्हें तुरंत अपग्रेड नहीं किया जा सकता — और पैच किए गए डिवाइसों के लिए डिफेंस-इन-डेप्थ के रूप में:

1. फ़ायरवॉल पर SSH एक्सपोज़र को प्रतिबंधित करें। SSH को इंटरनेट या अविश्वसनीय नेटवर्क पर उजागर न करें। केवल विश्वसनीय स्रोत पतों की अनुमति दें:

   root@kitploit:~

   /ip firewall filter
   add chain=input protocol=tcp dst-port=22 src-address=192.168.1.0/24 \
       action=accept place-before=1
   add chain=input protocol=tcp dst-port=22 action=drop place-before=2
   

2. जहाँ आवश्यक न हो वहाँ SSH को पूरी तरह अक्षम करें। Winbox, WebFig और API अक्सर प्रबंधन के लिए पर्याप्त होते हैं; विचार करें कि क्या रिमोट CLI पहुँच बिल्कुल भी उजागर की जानी चाहिए:

   root@kitploit:~

   /ip service disable ssh
   

3. मजबूत ऑथेंटिकेशन की आवश्यकता रखें। यदि SSH सक्षम रहना चाहिए:

   • SSH की-आधारित ऑथेंटिकेशन का उपयोग करें और जहाँ संभव हो पासवर्ड ऑथ अक्षम करें: /user ssh-keys import user=<admin> public-key-file=<file>।
   • कभी भी खाली या डिफ़ॉल्ट पासवर्ड का उपयोग न करें (विशेष रूप से डिफ़ॉल्ट admin खाता)।
   • मजबूत पासवर्ड लागू करें और उन्हें नियमित रूप से रोटेट करें।

4. प्रबंधन को VPN / सेगमेंटेड प्रबंधन नेटवर्क के पीछे रखें। प्रबंधन पहुँच को सीधे एक्सपोज़र के बजाय विश्वसनीय नेटवर्क या VPN के माध्यम से रूट करें; यह SSH, Winbox (8291), WebFig/HTTP (80/443), RouterOS API (8728/8729) और किसी भी कस्टम SSH पोर्ट (3333, 2222, 8022, और अन्य सामान्य री-पिन अक्सर उपयोग किए जाते हैं) पर लागू होता है।

5. समझौते के संकेतकों की निगरानी करें (नीचे डिटेक्शन देखें) और ऑथेंटिकेशन और कॉन्फ़िगरेशन इवेंट्स की लॉगिंग सक्षम करें।

6. फर्मवेयर को अद्यतित रखें और MikroTik सुरक्षा सलाह की सदस्यता लें: https://mikrotik.com/support/security।

डिटेक्शन

संकेत कि इस भेद्यता का किसी डिवाइस पर प्रयास या शोषण किया गया हो सकता है:

• अप्रत्याशित कॉन्फ़िगरेशन परिवर्तन: नए उपयोगकर्ता (विशेष रूप से full ग्रुप के साथ), पहुँच खोलने वाले नए फ़ायरवॉल नियम, बदली हुई सेवाएँ, अप्रत्याशित बैकडोर खाते।
• नए या संशोधित /system identity, DNS सेटिंग्स, या रूटिंग/फ़ायरवॉल नियम जो आपने नहीं बनाए।
• राउटर लॉग में असामान्य SSH गतिविधि, जैसे बार-बार ऑथेंटिकेशन विफलताएँ या संबंधित सफल लॉगिन इवेंट के बिना खोले गए सत्र।

चल रहे डिवाइस पर उपयोगी जाँचें:

# list users and look for accounts you did not create
/user print detail

# check the log for unusual SSH activity
/log print where topics~"ssh"

अस्वीकरण

यह दस्तावेज़ रक्षात्मक और शैक्षिक उद्देश्यों के लिए प्रकाशित किया गया है — ताकि MikroTik डिवाइसों के प्रशासक एक्सपोज़र का आकलन कर सकें, पैचिंग स्थिति को सत्यापित कर सकें, और अपनी तैनाती को हार्डन कर सकें। शोषण विवरण जानबूझकर रोके गए हैं, और कोई कार्यशील एक्सप्लॉइट जारी नहीं किया गया है। केवल उन सिस्टमों का परीक्षण करें जिनके आप स्वामी हैं या जिनका आकलन करने के लिए आप अधिकृत हैं।