Introductio
Die 3 Septembris 2026, MikroTik patchs fere simul emisit pro pluribus ramis RouterOS conservatis: 7.25beta3, 7.24.2, 7.23.4, et 6.49.21, et suadebat versionem patchatam quam primum installare. Venditor emissionem describebat ut magnam securitatis renovationem sed temporarie detexit singula vulnerabilitatis ut administratores tempus darent ad suas machinas renovandas.
Quaedam emendationes vulnerabilitates detexit a Sławomir Rozbicki ex CERT Polska, quae venditori per coordinatum divulgationem vulnerabilitatis (CVD) nuntiatae sunt. Cogitavimus synchronizare publicationem eorum singulorum cum emissione renovationum, sed novae versiones citius emissa sunt quam exspectavimus. Venditor etiam usus est notificationibus in app MikroTik ut necessitatem ad renovandum sublinearet.
Urgentia nuntii et defectus informationis specificae de threatibus magnam speculationem in foro officiali MikroTik excitavit. Simul, usores coeperunt loga machinum publicare suggerentes quod impetus incipere potuerunt antequam patchs praesto factae sunt.
Identificatio CVE-2026-86060
Cum novae versiones RouterOS praesto factae sunt, coepimus diffing patch ad determinandum utrum venditor vulnerabilitates quae nuntiavimus correxerat. Paccae etiam mutationes continebant ad mechanica quae a nostris relationibus non comprehensa erant.
Versions patchatae RouterOS validabant nomen usoris antequam ad applicationem /nova/bin/login transiret. Ambitus huius validationis suadebat quod, ante patch, nomen usoris afficere poterat quomodo programma argumenta sua interpretaret. Functio decompilata talis videbatur:
Addita validatio nominis usoris. Conditio illustrata nomina usoris quae cum hyphena (0x2d) aut spatio (0x20) incipiebant reiecit.
Mutationes etiam ad mechanismum Flagged identificavimus, quod configurationem entries detegit quae indicare possunt compromissum. Nova regula in initio pro ratione ops quae ad plenam coetum privilegiatum pertinebat. Si conditio impleta erat, RouterOS rationem desactivavit, admonitionem scripsit, et statum Flagged constituit. Introductio talium specificorum indicatorum compromissi (IoCs) significare potuit quod venditor saltem partem cognitionis de impetibus habebat.
Deinde loga a administratores in foro MikroTik et Reddit publicata examinavimus. Duae entries distinctae in pluribus relationibus apparuerunt:
login defectus pro usore -2 ex 82.192.72.4 per ssh
usor ops additus per ssh:-2@82.192.72.4
Sequens apparentem contradictorium in his logis animadvertimus: conatus login defectus pro usore -2, sequens creationem rationis ops intra eandem sessionem.
Combinatio huius informationis cum eventibus diffing patch nobis permisit novam vulnerabilitatem criticam intra horam identificare, ei identitatem CVE-2026-86060 assignare, et venditori cum singulis et scriptum probationis operantis praebere.
Combinata cum CVE-2026-67279, vulnerabilitas permisit impugnatori obtinere plena privilegia administrativa sine sciens password, possidens clavem SSH, aut completum authenticationem. Hanc catena MikroTrick nominavimus.
CVE-2026-67279
SSH plures capacitates administrativas praebet, inter quas accessus terminalis remotus, exsecutio mandatorum, translatio fasciculorum, et connexio tunneling intra canalem communicationis encryptum. Protocollum ex tribus successivis stratis constat:
transport,
authenticatio usoris,
tractatio connexionis et canalium.
Postquam connexio TCP constituta est, client et servitor algorithmis cryptographicis negotiantur et commutationem clavium peragunt ut secretum commune constituant. Servitor signat parameters commutationis cum sua clave hostis, permittens clientem identitatem servitoris verificare. Cum primum coniungitur, clientes saepe sequuntur modelum Trust on First Use (TOFU). Utraque pars deinde materiam clavium pro ulteriori communicatione ex secreto communi derivat. Ab illo puncto, eorum communicatio encrypta est et contra modificationem protecta. Haec fase servitorem clientem authentificat, sed nondum usorem servitori.
Client deinde usorem cum una ex modis permissis, ut password aut clavis publica, authentificat. Si authentificatio succedit, servitor mittit SSH_MSG_USERAUTH_SUCCESS. Tunc tantum tractatio canalium incipit, permittens clientem aditus ad shell, mandatum exsequi, aut alias functiones administrativas uti secundum privilegia assignata usori SSH. Haec divisio in RFC 4253, RFC 4252, et RFC 4254 specificata est.
Post initialem commutationem clavium, utraque pars alteram initiari potest, quae rekey appellatur. Hoc transporta claves mutat sine terminando connexione TCP aut mutando statum protocolorum superiorum. Rekeying plerumque fit postquam certus quantitas datae translatum est aut certus tempus elapsum est, sed protocollum etiam id permittit antequam authentificatio usoris completa sit.
Versions vulnerabiles servitoris RouterOS SSH rekey initiatum durante authentificatione usoris incorrecte tractabant. Cum rekey finita est, servitor sine conditione a statu rekey temporario ad tractationem canalium transiit pro resuming authentificationem interruptam. Ut resultatum, acceptavit sessionem canalem et petitiones cum coniunctae sunt, quamvis numquam mittit SSH_MSG_USERAUTH_SUCCESS.
Vulnerabilitas non constituit identitatem authenticatam aut assignavit ullas privilegia. Permisit tamen connexionem transire a authentificatione usoris ad tractationem canalium, quod erat praerequisitum ad explendum CVE-2026-86060.
CVE-2026-86060
Post successum authentificationem, client potest aperire sessionem canalem. Exploitans CVE-2026-67279 hanc requisitionem praeterit. Ad creare console remotam, client deinde normaliter mittit pty-req sequente shell. Servitor creat pseudoterminal et incipit processum filium ad eum attachatum. In RouterOS, ille processus est /nova/bin/login, invocatus secundum sequentem formam:
/nova/bin/login -ssh -trace <trace> -h <client address> [-c <command>] <username> <policy mask>
Durante operatione normali, ultimum t