Краткое описание

Неаутентифицированный удалённый злоумышленник может получить полный административный контроль над уязвимым устройством MikroTik RouterOS, взаимодействуя исключительно с его службой SSH. Учётные данные, взаимодействие с пользователем и локальный доступ не требуются.

Получив полный policy, злоумышленник обладает теми же привилегиями, что и администратор RouterOS с группой full: чтение и изменение всей конфигурации, создание привилегированных учётных записей и бэкдоров, включение/отключение служб, перенаправление или перехват трафика, а также использование устройства в качестве точки опоры для проникновения во внутренние сети.

Уязвимые версии

• Уязвимы: RouterOS 6.x и 7.0.0 – 7.23.3 (вся ветка 6.x и 7.x вплоть до исправления).
• Исправлено: RouterOS 7.23.4 и новее.

Проблема была проверена на официальных релизах CHR 6.49.20 и CHR 7.21.5, запущенных в локальной лаборатории на базе QEMU (MikroTik Cloud Hosted Router), а также дополнительно подтверждена на небольшом числе интернет-доступных установок, обнаруженных в ходе ограниченного исследовательского анализа (детали не раскрываются; публикация данных сторонних хостов не производится).

Техническое описание

Уязвимость представляет собой повышение привилегий до аутентификации в службе SSH RouterOS, позволяющее неаутентифицированному SSH-клиенту получить сессию консоли RouterOS с полной маской административного policy.

Конкретный механизм, затронутые пути в коде и любые триггерные значения намеренно не раскрываются во избежание воспроизведения. Описан только эффект на высоком уровне: неаутентифицированный клиент может получить полный административный policy без действительных учётных данных.

Примечание о раскрытии информации: данный документ намеренно не публикует эксплойт-код, конкретные триггерные значения или пошаговый рецепт воспроизведения. Предоставлены скриншоты proof-of-concept (см. ниже); рабочий payload или исходный код не публикуются.

Воздействие

Успешная атака даёт неаутентифицированному удалённому злоумышленнику полные административные привилегии группы full на маршрутизаторе. Наблюдаемые и реалистичные последствия:

• Полное чтение/запись конфигурации — выгрузка BGP/OSPF-пиров, правил межсетевого экрана, VPN-учётных данных, секретов RADIUS/PPP, сертификатов.
• Манипуляция учётными записями — создание новых пользователей группы full и бэкдоров, блокировка легитимных администраторов.
• Злоупотребление службами — включение/отключение служб, открытие дыр в межсетевом экране, проксирование трафика.
• Перехват / перенаправление трафика — перехват DNS, MITM на маршрутизируемом трафике, перенаправление управляющего или пользовательского трафика.
• Боковое перемещение — использование маршрутизатора в качестве точки опоры для проникновения в маршрутизируемые им сети и восстановления учётных данных, пригодных в других местах сети.
• Ботнет / DDoS-материал — маршрутизаторы с полным контролем часто рекрутируются в DDoS- и сканирующие ботнеты.

Поскольку устройства RouterOS находятся на периметре сети (шлюзы, VPN-концентраторы, CPE провайдеров, корпоративные маршрутизаторы), радиус поражения обычно значительно больше, чем у одного скомпрометированного хоста.

Proof of concept

Чтобы данное уведомление было безопасным для публичного распространения, здесь не публикуются ни эксплойт-код, ни триггерные значения, ни скрипт воспроизведения.

• Лабораторная проверка: подтверждено на MikroTik CHR 6.49.20 и 7.21.5 в локальной лаборатории QEMU/Docker. Доказательство демонстрировало действие записи (создание и последующее удаление пользователя с policy full), невозможное для сессии только для чтения/неаутентифицированной — полный административный policy был получен до аутентификации.

• Скриншоты proof-of-concept:

  

  

Исправление

Обновление RouterOS

Проблема исправлена в RouterOS 7.23.4 и более поздних версиях.

1. Сначала создайте резервную копию конфигурации:

   root@kitploit:~

   /system backup save name=backup-before-upgrade
   /export file=export-before-upgrade
   

2. Обновитесь через обычные каналы:

   • Winbox / WebFig: System → Packages → Check for updates (или загрузите routeros-<version>.npk для архитектуры маршрутизатора).
   • CLI: см. руководство по адресу https://help.mikrotik.com/docs/spaces/ROS/pages/47579159/Upgrade.

3. После обновления проверьте работающую версию:

   root@kitploit:~

   /system resource print
   

4. Только после этого рассмотрите возможность повторного включения SSH на внешних интерфейсах (см. ниже).

Предпочитайте исправление, а не обходные пути. Обновление версии — единственное полное исправление. Приведённые ниже обходные пути снижают подверженность, но не устраняют основную уязвимость.

Предотвращение и усиление защиты

Для устройств, которые невозможно обновить немедленно — и в качестве эшелонированной защиты для исправленных:

1. Ограничьте доступность SSH на межсетевом экране. Не открывайте SSH в Интернет или недоверенные сети. Разрешайте только доверенные адреса источников:

   root@kitploit:~

   /ip firewall filter
   add chain=input protocol=tcp dst-port=22 src-address=192.168.1.0/24 \
       action=accept place-before=1
   add chain=input protocol=tcp dst-port=22 action=drop place-before=2
   

2. Полностью отключите SSH там, где он не требуется. Winbox, WebFig и API часто достаточны для управления; рассмотрите, нужно ли вообще открывать удалённый доступ к CLI:

   root@kitploit:~

   /ip service disable ssh
   

3. Требуйте строгую аутентификацию. Если SSH должен оставаться включённым:

   • Используйте аутентификацию по SSH-ключам и отключите аутентификацию по паролю, где это возможно: /user ssh-keys import user=<admin> public-key-file=<file>.
   • Никогда не используйте пустые или стандартные пароли (в частности, стандартную учётную запись admin).
   • Обеспечьте использование надёжных паролей и регулярно меняйте их.

4. Разместите управление за VPN / сегментированной управляющей сетью. Направляйте управляющий доступ через доверенную сеть или VPN вместо прямого открытия; это относится к SSH, Winbox (8291), WebFig/HTTP (80/443), RouterOS API (8728/8729) и любым нестандартным портам SSH (3333, 2222, 8022 и другие часто используемые переназначения).

5. Следите за индикаторами компрометации (см. раздел «Обнаружение» ниже) и включите журналирование событий аутентификации и конфигурации.

6. Поддерживайте прошивку в актуальном состоянии и подпишитесь на уведомления о безопасности MikroTik: https://mikrotik.com/support/security.

Обнаружение

Признаки того, что данная уязвимость могла быть использована или эксплуатирована на устройстве:

• Неожиданные изменения конфигурации: новые пользователи (особенно с группой full), новые правила межсетевого экрана, открывающие доступ, изменённые службы, неожиданные бэкдор-учётные записи.
• Новые или изменённые /system identity, настройки DNS или правила маршрутизации/межсетевого экрана, которые вы не вносили.
• Необычная активность SSH в журналах маршрутизатора, например повторяющиеся сбои аутентификации или сессии, открытые без соответствующего события успешного входа.

Полезные проверки на работающем устройстве:

Отказ от ответственности

Данный документ публикуется в защитных и образовательных целях — чтобы администраторы устройств MikroTik могли оценить подверженность, проверить статус исправления и усилить защиту своих развёртываний. Детали эксплуатации намеренно не раскрываются, и рабочий эксплойт не публикуется. Тестируйте только системы, которыми вы владеете или на оценку которых у вас есть разрешение.