CVE-2026-89020: RouterOS mtget TFTP RRQ ओवरफ़्लो और विशेषाधिकार वृद्धि

मूल ओवरफ़्लो (DoS): Kazuma Matsumoto, GMO Cybersecurity by IERAE।

रीड-ओनली से विशेषाधिकार वृद्धि: Cristiano Maranci, Davide Turaccio।

read समूह में एक प्रमाणित उपयोगकर्ता mtget TFTP ओवरफ़्लो के माध्यम से संग्रहीत समूह नीति को फिर से लिखता है और अनपैच्ड RouterOS पर पूर्ण विशेषाधिकार प्राप्त कर लेता है। MikroTik ने इसे पुनः उत्पन्न किया। यह रेपो एस्केलेशन PoC है, मूल ओवरफ़्लो नहीं।

प्रभावित

बिल्ड	mtget sha256 (16)	असुरक्षित
6.49.7	`c86bad170066c058`	हाँ
6.49.11	`c86bad170066c058`	हाँ (लाइव डिवाइस पर परीक्षण किया गया)
6.49.18	`a98020b2d5e39cf3`	हाँ
6.49.19	`a98020b2d5e39cf3`	हाँ
6.49.20	`a98020b2d5e39cf3`	हाँ
6.49.21	`9721d0bb5d21ec2a`	नहीं (फ़िक्स)
6.49.22	`9721d0bb5d21ec2a`	नहीं
7.23.3	`0a976b16314073e7`	हाँ
7.23.7	`b315c9516f67c078`	नहीं (7.23.4 में फ़िक्स किया गया)
7.24.1	`e5cba2a80146f361`	हाँ
7.24.2	`a6a8b50ee270e018`	नहीं (फ़िक्स)
7.24.5	`13dafb8a1d28fac7`	नहीं

6.0 से 6.49.20 तक के प्रत्येक नमूने वाले 6.x बिल्ड में और 7.1.5 से 7.24.1 तक के प्रत्येक नमूने वाले 7.x बिल्ड में असुरक्षित। फ़िक्स: 6.49.21, 7.23.4, 7.24.2। एस्केलेशन का परीक्षण 6.49.11 (RB SXT-5D) और 6.49.18 (RB433GL) पर किया गया।

यह कैसे काम करता है

mtget RRQ बिल्डर: अनबाउंड memcpy (6.49.11: बिल्डर 0x406518, कॉपी 0x406558)। /tool fetch के माध्यम से एक लंबा tftp:// पाथ सहेजे गए रजिस्टरों और रिटर्न एड्रेस को ओवरराइट कर देता है।
पेलोड /rw/store/group.dat खोलता है, पहला रिकॉर्ड प्रीफ़िक्स (38 बाइट्स) लिखता है, उसे वापस पढ़ता है, एक मार्कर फ़ाइल लिखता है, और बाहर निकल जाता है।
/nova/bin/user में group::restore (6.49.11: 0x40c348) बिना किसी मान सत्यापन के allow & clip और deny & clip लागू करता है। read समूह full समूह बन जाता है।

उपयोग

python3 poc_read2full.py --host H --port P --user U --password W
python3 poc_read2full_generic.py --host H --port P --user U --password W \
    --payload payloads/6.49.7-6.49.11.mipsbe.bin

poc_read2full.py परीक्षित 6.49.11 ड्राइवर है। poc_read2full_generic.py 6.49.7, या पुनर्गणना किए गए पेलोड वाले किसी अन्य बिल्ड को भी स्वीकार करता है।

--promote-user NAME वैकल्पिक रूप से पुनर्लेखन के बाद उस खाते को full में स्थानांतरित कर देता है।

पेलोड

payloads/6.49.7-6.49.11.mipsbe.bin (4094 B, sha256 433d59c9...) वह पेलोड है जिसका उपयोग लाइव रन में किया गया था। अन्य बिल्ड के लिए पुनर्गणना किए गए पेलोड की आवश्यकता होती है।

सुरक्षा

इसे केवल उन्हीं डिवाइसों पर चलाएँ जो आपके स्वामित्व में हैं या जिनका परीक्षण करने के लिए आप अधिकृत हैं। यह read समूह नीति को फिर से लिखता है और डिवाइस को रीबूट कर सकता है।

सबसे लोकप्रिय

PoC-CVE-2026-89020-PrivEsc