2026 szeptemberében és októberében több súlyos hibára is fény derült a MikroTik RouterOS-ben. A lengyel CERT Polska szerint a támadók aktívan kihasználták az internetről elérhető SSH-szolgáltatást, és így teljes irányítást szereztek az eszközök felett.
Mi történt?
- MikroTrick (szeptember): hat sérülékenység, amelyek az SSH-t, a WebFiget, a tanúsítványkezelést és a bandwidth-test szolgáltatást érintik. A MikroTik szerint a 7.24.3 (stable), a 7.23.6 (long-term) és a 6.49.21 vagy újabb kiadások mindet javítják.
- Webes kezelőfelület (október): a Cybernews az amerikai CISA figyelmeztetése alapján egy 9,8-as súlyosságú hibáról írt, amely a webes kezelőszolgáltatást érinti, és bejelentkezés nélkül is kihasználható. A cikk a RouterOS 7.24.5-re vagy a legfrissebb verzióra frissítést javasolja.
Mit tegyen most?
- Frissítsen a csatornája legújabb RouterOS-kiadására, és a szeptemberben már frissített routert is ellenőrizze, mert az egyik javítás akkor még hiányos volt.
- Zárja el a kezelőfelületeket az internet elől. Az SSH, a WebFig és a WinBox ne legyen nyitva. A MikroTik is azt javasolja, hogy a kezelés WireGuardhoz hasonló VPN-en át történjen.
- Nézze meg a naplót. A RouterOS „Flagged” állapotba teszi a feltörtnek ítélt eszközt, és kritikus bejegyzést ír a naplóba.
- Keressen ismeretlen elemeket: felhasználókat, scripteket, ütemezett feladatokat, proxykat és alagutakat.
Egyszerű példa: a kezelés csak a belső hálózatról és VPN-ről
A példa a RouterOS alap tűzfalát feltételezi, amelyben van „LAN” interfészlista. Tegye bele a WireGuard interfészt is, és korlátozza a kezelőszolgáltatásokat:
/interface list member
add interface=wireguard1 list=LAN
/ip service
set ftp disabled=yes
set telnet disabled=yes
set api disabled=yes
set api-ssl disabled=yes
set www address=192.168.88.0/24,192.168.100.0/24
set ssh address=192.168.88.0/24,192.168.100.0/24
set winbox address=192.168.88.0/24,192.168.100.0/24A címeket igazítsa a saját hálózatához, és távoli munkánál előbb győződjön meg arról, hogy VPN-en át is eléri a routert, különben kizárhatja magát. Ha a WebFiget HTTPS-en éri el, a www-ssl szolgáltatást is korlátozza így.
Szívesen átnézzük a MikroTik router frissítését és tűzfalát. Részletek itt.
