CVE-2026-86060 — MikroTik RouterOS SSH 認証前の権限昇格による完全な管理者制御

概要

未認証のリモート攻撃者が、SSH サービスのみと対話することで、脆弱な MikroTik RouterOS デバイスの完全な管理者制御を取得できます。 認証情報、ユーザー操作、ローカルアクセスは一切不要です。

完全なポリシーを取得すると、攻撃者は full グループの RouterOS 管理者と 同じ権限を持ちます: 設定全体の読み取りと変更、特権アカウントやバックドアの 作成、サービスの有効化/無効化、トラフィックのリダイレクトや傍受、そして デバイスを足がかりとして内部ネットワークへピボットすることが可能です。

影響を受けるバージョン

• 脆弱: RouterOS 6.x および 7.0.0 から 7.23.3 まで (修正までの 6.x および 7.x ブランチ全体)。
• 修正済み: RouterOS 7.23.4 以降。

この問題は、ローカルの QEMU ベースのラボ (MikroTik Cloud Hosted Router) で 実行されている公式 CHR 6.49.20 および CHR 7.21.5 リリースに対して 検証され、さらに限定的な検証調査中に到達した少数のインターネット露出 インストールに対しても確認されました (詳細は非公開; 第三者ホストの公開は 行いません)。

技術的説明

この脆弱性は、RouterOS SSH サービスにおける認証前の権限昇格であり、 未認証の SSH クライアントが完全な管理者ポリシーマスクを持つ RouterOS コンソールセッションに到達できるようにします。

具体的なメカニズム、影響を受けるコードパス、およびトリガー値は、再現を 防ぐために意図的に非公開としています。高レベルの影響のみを説明します: 未認証のクライアントが、有効な認証情報なしで完全な管理者ポリシーを取得 できます。

責任ある開示に関する注記: 本文書は、エクスプロイトコード、具体的な トリガー値、またはステップバイステップの再現手順を意図的に公開して いません。概念実証のスクリーンショットを提供しています (以下を 参照); 動作するペイロードやソースコードは公開されていません。

影響

攻撃が成功すると、未認証のリモート攻撃者はルーター上で完全な full グループ管理者権限を取得します。観察された、および現実的な結果:

• 設定の完全な読み取り/書き込み — BGP/OSPF ピア、ファイアウォール ルール、VPN 認証情報、RADIUS/PPP シークレット、証明書のダンプ。
• アカウント操作 — 新しい full グループユーザーとバックドアの作成、 正規の管理者のロックアウト。
• サービスの悪用 — サービスの有効化/無効化、ファイアウォールの穴の 開放、トラフィックのプロキシ。
• トラフィックの傍受 / リダイレクト — DNS ハイジャック、ルーティング されたトラフィックへの MITM、管理またはユーザートラフィックのリダイレクト。
• 横展開 — ルーターを、それがルーティングするネットワークへのピボット ポイントとして使用し、ネットワーク上の他の場所で使用可能な認証情報を 回復。
• ボットネット / DDoS の素材 — 完全な制御下にあるルーターは、DDoS および スキャンボットネットに頻繁に勧誘されます。

RouterOS デバイスはネットワークエッジ (ゲートウェイ、VPN コンセントレーター、 ISP CPE、エンタープライズルーター) に位置するため、影響範囲は通常、単一の 侵害されたホストよりもはるかに大きくなります。

概念実証

このアドバイザリを一般配布に対して安全に保つため、エクスプロイトコード、 トリガー値、再現スクリプトはここでは公開されていません。

• ラボ検証: ローカルの QEMU/Docker ラボで MikroTik CHR 6.49.20 および 7.21.5 に対して確認されました。概念実証では、読み取り専用/未認証 セッションでは不可能な書き込みアクション (full ポリシーユーザーの 作成とその後の削除) を実証しました — 完全な管理者ポリシーが認証前に 取得されました。

• 概念実証のスクリーンショット:

  

  

修正

RouterOS のアップグレード

この問題は RouterOS 7.23.4 以降で修正されています。

1. まず設定をバックアップします:

   root@kitploit:~

   /system backup save name=backup-before-upgrade
   /export file=export-before-upgrade
   

2. 通常のチャネルでアップグレードします:

   • Winbox / WebFig: System → Packages → Check for updates (または ルーターのアーキテクチャ用の routeros-<version>.npk をアップロード)。
   • CLI: マニュアル https://help.mikrotik.com/docs/spaces/ROS/pages/47579159/Upgrade を参照してください。

3. アップグレード後、実行中のバージョンを確認します:

   root@kitploit:~

   /system resource print
   

4. その後でのみ、外部インターフェースで SSH を再度有効にすることを検討して ください (以下を参照)。

回避策よりもパッチ適用を優先してください。 バージョン更新のみが完全な 修正です。以下の回避策は露出を減らしますが、根本的な欠陥を除去するものでは ありません。

予防とハードニング

すぐにアップグレードできないデバイス向け — および修正済みデバイスの 多層防御として:

1. ファイアウォールで SSH の露出を制限します。 SSH をインターネットや 信頼できないネットワークに公開しないでください。信頼できる送信元 アドレスのみを許可します:

   root@kitploit:~

   /ip firewall filter
   add chain=input protocol=tcp dst-port=22 src-address=192.168.1.0/24 \
       action=accept place-before=1
   add chain=input protocol=tcp dst-port=22 action=drop place-before=2
   

2. 不要な場合は SSH を完全に無効化します。 Winbox、WebFig、API は 多くの場合、管理に十分です; リモート CLI アクセスをそもそも公開する 必要があるか検討してください:

   root@kitploit:~

   /ip service disable ssh
   

3. 強力な認証を要求します。 SSH を有効にしておく必要がある場合:

   • SSH 鍵ベース認証を使用し、可能な場合はパスワード認証を無効化します: /user ssh-keys import user=<admin> public-key-file=<file>。
   • 空白またはデフォルトのパスワード (特にデフォルトの admin アカウント) を決して使用しないでください。
   • 強力なパスワードを強制し、定期的にローテーションします。

4. 管理を VPN / セグメント化された管理ネットワークの背後に置きます。 直接公開するのではなく、信頼できるネットワークまたは VPN を介して管理 アクセスをルーティングします; これは SSH、Winbox (8291)、WebFig/HTTP (80/443)、RouterOS API (8728/8729)、およびカスタム SSH ポート (3333、 2222、8022、その他の一般的な再ピンが頻繁に使用されます) に適用されます。

5. 侵害の指標を監視し (以下の検出を参照)、認証および設定イベントの ログを有効化します。

6. ファームウェアを最新に保ち、MikroTik のセキュリティアドバイザリを 購読します: https://mikrotik.com/support/security。

検出

この脆弱性がデバイス上で試行または悪用された可能性がある兆候:

• 予期しない設定変更: 新しいユーザー (特に full グループ)、アクセスを 開放する新しいファイアウォールルール、変更されたサービス、予期しない バックドアアカウント。
• あなたが行っていない新しいまたは変更された /system identity、DNS 設定、 またはルーティング/ファイアウォールルール。
• ルーターログにおける異常な SSH アクティビティ、例えば繰り返される 認証失敗、または対応する成功したログインイベントなしに開かれたセッション。

実行中のデバイスでの有用なチェック:

# list users and look for accounts you did not create
/user print detail

# check the log for unusual SSH activity
/log print where topics~"ssh"

免責事項

本文書は、防御および教育目的で公開されています — MikroTik デバイスの管理者が 露出を評価し、パッチ適用状況を確認し、展開をハードニングできるようにするため です。悪用の詳細は意図的に非公開とし、動作するエクスプロイトは公開していません。 所有している、または評価を許可されているシステムのみをテストしてください。