🚨 Kauza MikroTrick

zdeneksvarc · 2026-09-05T05:19:02+00:00

Update Původní vlákno "Mikrotik RouterOS bezpečnostní update z 3.9.2026" přejmenováno na "Kauza MikroTrick", podle označení navrženého týmem CERT Polska, který 5.9.2026 přiřadil CVE. Viz čtvrtý příspěvek (zdeneksvarc). TLDR Neprodleně upgradovat na některou z opravených verzí podle kanálu: 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21. Nové verze opravují kompromitaci přes SSH vektor a zřejmě i bezpečnostní implementace v ověřování RSA podpisu, TFTP serveru a MAC-Telnet. Nová verze kontroluje stopy po kompromitaci a takový router označí flagged. SSH přístup ve starších verzích umožňoval přihlášení vestavěnému uživatelskému jménu -2, který šlo eskalovat na administrátorská práva. Komentář Ve čtvrtek 3.9.2026 vydal Mikortik smršť updatů pro RouterOS. Kanál long-term měl navíc ještě další update včera (7.23.4 > 7.23.5). Dnes kolem půlnoci rozeslal mailem bezpečnostní upozornění (originální znění mailu na konci příspěvku). Na fóru Mikrotiku k tomu bezpečnostnímu update běží docela vyhrocená diskuze, protože bezpečnostní chyba je nejen závažná, ale nemá ani oficiální CVE a v changelogu to má jen vágní popis *) ssh - refactor SSH internal processes and improved system stability; Mikrotikls k tomu nechce zatím nic pořádného říct. Takže Nick Pratley na svém blogu porovnal reverzním inženýringem zranitelnou verzi a patchovanou verzi. Strojové spracování článku bude v druhém příspěvku tohoto vlákna. Originál bezpečnostních mailu rozeslaného 5.9.2026 MikroTik has found a security vulnerability in RouterOS and releases containing a fix have been published in all channels. This is an important security update. Most configurations are not at risk, but upgrading is highly recommended. To give time to update your systems, we are not currently publishing detailed information. Your device should already give you the option to upgrade software in the "Check for updates" menu. Fix is included in: 7.25 beta 3 7.24.2 7.23.4 6.49.21 and newer. For regular home device users and default configurations, the issue does not pose an immediate risk, but we still suggest all users to upgrade. Steps after upgrade RouterOS will check if your device has been compromised, and set it to "Flagged" status if it is. This will be written in the "Log" section. If your log has a critical entry saying your device has been Flagged, please follow the instructions in the Flagged status documentation page Even if your device is not in Flagged state, after upgrading your RouterOS, inspect your device configuration for any unknown scripts, users or other config you do not recognise. This is suggested in any case, Flagged or not. Flagged status does not delete configuration, you should still inspect it. This article will be updated with more information in due time. Forum

hapi

Kauza Mikrotik? V pátek čistou náhodou přišlo od tplinku k Deco aby jsme urychleně provedly aktualizaci a změnili hesla... Náhoda?

zdeneksvarc

hapi Jako spojnici bych viděl aktuální Fable/Mythos/Astra, které umí hledat slabiny jak nikdo před tím.

menicks

hapi Na které modely? Prošel jsem několik modelů a nikde nové FW nebyli.

hapi

X50. "Vynutil" se upgrade a změna hesla. Vyskočilo to v obslužné apce.

zzam

cerva Nekonečný restart je ještě relativně ok, jde udělat netinstall na dálku. Na zkoušku jsem dělal update u 100 zařízení, chcíply 3 kusy - vše ARM, z toho 1x chybějící wifi balíček, 2x nekončený restart.

crazyape

Ja upgradoval asi 2000 zařízení a zatim vim o jednom co nejede. Tak 50/50 ros6/ros7.

miract

crazyape Ja upgradoval asi 2000 zařízení a zatim vim o jednom co nejede. Tak 50/50 ros6/ros7.

ros6 jsi upgradoval na posledni 6.49.21 nebo na posledni ros7?

Ví se(možná jsem to přehlédnul) od kterých verzí je problém, jestli vše s ros6 a 7 nebo jen některé novější verze?

coitus

Nasiel so jeden router RB5009 co mal do internetu vystavene SSH na nestandardnom porte. V servisoch /ip/service bezal na dvoch udp portoch 137 a 43xxx proces "scanner". Nikde som nenasiel ziadnu zmienku o takomto procese v mikrotiku. Po aktualizacii to tam uz nie je. Ziadnu inu anomaliu som si nevsimol, ale vazne rozmyslam nad tym ze ten router prebehnem netinstalom. Utocnik sa teoreticky moze dostat aj k heslam vo files/backup prip. rsc.

selic

coitus Podívej se na status Flagged a rozhodně to chce změnit heslo na jiné.

coitus

Ved to ze nie je...
flagged: no
flagging-enabled: yes
No zmenit heslo do zariadenia je jednoduche, ale mozu tam byt hesla do IKE2, PPP, L2TP etc..

« Předchozí stránka