🚨 Kauza MikroTrick

zdeneksvarc · 2026-09-05T05:19:02+00:00

Update Původní vlákno "Mikrotik RouterOS bezpečnostní update z 3.9.2026" přejmenováno na "Kauza MikroTrick", podle označení navrženého týmem CERT Polska, který 5.9.2026 přiřadil CVE. Viz čtvrtý příspěvek (zdeneksvarc). TLDR Neprodleně upgradovat na některou z opravených verzí podle kanálu: 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21. Nové verze opravují kompromitaci přes SSH vektor a zřejmě i bezpečnostní implementace v ověřování RSA podpisu, TFTP serveru a MAC-Telnet. Nová verze kontroluje stopy po kompromitaci a takový router označí flagged. SSH přístup ve starších verzích umožňoval přihlášení vestavěnému uživatelskému jménu -2, který šlo eskalovat na administrátorská práva. Komentář Ve čtvrtek 3.9.2026 vydal Mikortik smršť updatů pro RouterOS. Kanál long-term měl navíc ještě další update včera (7.23.4 > 7.23.5). Dnes kolem půlnoci rozeslal mailem bezpečnostní upozornění (originální znění mailu na konci příspěvku). Na fóru Mikrotiku k tomu bezpečnostnímu update běží docela vyhrocená diskuze, protože bezpečnostní chyba je nejen závažná, ale nemá ani oficiální CVE a v changelogu to má jen vágní popis *) ssh - refactor SSH internal processes and improved system stability; Mikrotikls k tomu nechce zatím nic pořádného říct. Takže Nick Pratley na svém blogu porovnal reverzním inženýringem zranitelnou verzi a patchovanou verzi. Strojové spracování článku bude v druhém příspěvku tohoto vlákna. Originál bezpečnostních mailu rozeslaného 5.9.2026 MikroTik has found a security vulnerability in RouterOS and releases containing a fix have been published in all channels. This is an important security update. Most configurations are not at risk, but upgrading is highly recommended. To give time to update your systems, we are not currently publishing detailed information. Your device should already give you the option to upgrade software in the "Check for updates" menu. Fix is included in: 7.25 beta 3 7.24.2 7.23.4 6.49.21 and newer. For regular home device users and default configurations, the issue does not pose an immediate risk, but we still suggest all users to upgrade. Steps after upgrade RouterOS will check if your device has been compromised, and set it to "Flagged" status if it is. This will be written in the "Log" section. If your log has a critical entry saying your device has been Flagged, please follow the instructions in the Flagged status documentation page Even if your device is not in Flagged state, after upgrading your RouterOS, inspect your device configuration for any unknown scripts, users or other config you do not recognise. This is suggested in any case, Flagged or not. Flagged status does not delete configuration, you should still inspect it. This article will be updated with more information in due time. Forum

Kolobok

zdeneksvarc tak nebudeme si hrát na to, ze jsme nejchytřejší na světě, ne ?

zdeneksvarc

Kolobok Kdo si na nejchytřejšího nehraje, tak generovaný text označí za generovaný, ne? 😄

k3ny

vratil bych se k tematu. Je uz nekdo kdo mel skutecny problem s napadenym zarizenim? Zatim jsem nikoho nezaznamenal.

okoun

no já taky ne a přijde mi to až takové divné a nebo jsme to měli dobře zabezpeřeno už před tím 🙂

hapi

několik sítí a nikde nic. Kde je ten článek na NUKIB?

Podle rychlosti stahování upgradů ze serverů AWS bych se vůbec nedivil, kdyby balíčky "opravených" verzí byly podstrčené 😀

kozlicek

hapi me to přislo z NUKIBu do emailu.

zbytkyZEskladu

https://portal.nukib.gov.cz/informacni-servis/aktualne/6a9e62651f7e2dbb4903c398

dacesilian

Také bez napadení. Jeden hAP ac2 mi po upgradu nenaběhl, naštěstí šel na dálku přes netinstall oživit bez ztráty konfigurace. Měl myslím dost starý firmware kolem 7.13.x, takové skoky jsou už moc. Mohlo by to nabídnout nějaký mezikrok.

Taky nevím, proč flagged status nepřidali i do v6 fw, ten vypisuje jen mode enterprise. /system/device-mode/print

hapi

dělám sem tam upgrady z v6 až na last v7 přes automatiku a žádnou takovou úmrtnost nemám. A to nejen ve vlastní síti ale i v cizí.

coitus

Ja som neupgradoval, namiesto toho som porty winboxu a ssh schoval za port knock. Samozrejme aj potom su pristupne len z lokalnej siete a z vlan na ktoru sa da dostat len z IKE2 tunela.
Nieco ako je popisane tu, samozrejme upravene:
https://help.mikrotik.com/docs/spaces/ROS/pages/154042369/Port+knocking
Mam strach upgradovat hlavne 2116 ktore su ako hlavne nat-ovacie stroje a upgradnem az ked bude verzia ktora bude ok.

selic

coitus Z vnitřní sítě je to potřeba zabezpečit také. Sem tam zaznamenávám slovníkové útoky ze zavirovaných telefonů a příští týden se nechá očekávat "exploit" ze strany AVASTU, kdy to bude ukazovat připojeným userům jméno a heslo routeru, jako při předposledním průseru s přihlašováním do mikrotiků.

coitus

Ako som pisal porty ssh a winboxu (samozrejme zmenene) su dostupne iba z ip z ktorej pride port knock v urcitej sekvencii na ip zariadenia. Ine sluzby www, api, telnet atd. su zakazane (nepouzivam ich). Takze user z vnutornej siete moze max. opingat zariadenie. Samozrejme aktualizovat budem ale pri > 200 zariadeniach na core sieti to nie je len tak...

Kolobok

Na me to dela dojem, že to je jenom predehra.. Pekne se pocka na to az parta bdelych opatchuje své milášky a potom příjde další vlna, že se prostě router zablokuje, nebo zamkne a za drobný příspěvek odemkne.. Not frist time, not last time 🙂

« Předchozí stránka