Автор репозиторію dinosn опублікував лабораторний PoC MikroTrick для CVE-2026-67276, який показує обхід SSH-автентифікації RouterOS.

Аналіз повідомляє, що RouterOS зіставляє SSH-ключ за типом і модулем RSA, але не перевіряє експоненту. Тому для атаки достатньо відомого публічного модуля жертви, а приватний ключ не потрібен.

Під час лабораторної перевірки автор пройшов автентифікацію та виконав команду на RouterOS 7.23.3. RouterOS 7.23.4 відхилила підроблений ключ.

Репозиторій радить оновити RouterOS до виправленої версії. До оновлення він пропонує обмежити SSH, WWW і bandwidth-test довіреними мережами керування.

Терміни:

  • PoC — Proof of Concept, або демонстрація працездатності. У безпеці так називають приклад, який показує, як відтворити уразливість.
  • модулем RSA — Частина відкритого RSA-ключа. Вона використовується під час криптографічних перевірок і зазвичай доступна разом із відкритим ключем.
  • експоненту — Параметр RSA-ключа, який бере участь у криптографічних обчисленнях. Він зберігається разом із модулем у відкритому ключі.

Перевірка тверджень:

  • У контексті інциденту MikroTrick автор репозиторію dinosn опублікував лабораторний PoC для CVE-2026-67276, який показує обхід SSH-автентифікації RouterOS. (підтверджено самою публікацією: доказ; «MikroTrick lab PoC — CVE-2026-67276 (RouterOS SSH public-key auth bypass)»)
  • У репозиторії стверджується, що CERT PL 5 вересня 2026 року розкрив шість уразливостей RouterOS, які активно експлуатуються та об’єднані під назвою MikroTrick. (підтверджено самою публікацією: доказ; «CERT PL (2026-09-05) disclosed six RouterOS vulnerabilities, actively exploited in the wild as the chain “MikroTrick” (unauthenticated full device takeover when SSH is internet-reachable).»)
  • Згідно з аналізом PoC, за CVE-2026-67276 RouterOS зіставляє SSH-ключ за типом і модулем RSA, але не звіряє експоненту. (підтверджено самою публікацією: доказ; «RouterOS matches the presented SSH public-key blob against the user’s authorized key by (key type, modulus) — the exponent is not compared.»)
  • PoC використовує те, що перевірка підпису бере ключ, надісланий клієнтом: за ключа з експонентою e=1 для атаки достатньо відомого публічного модуля жертви, а приватний ключ не потрібен. (підтверджено самою публікацією: доказ; «Presenting {ssh-rsa, e=1, n=victim} makes sig^1 mod n == sig , so the valid “signature” is simply EMSA-PKCS1-v1_5(hash, authdata) — computable by anyone who knows the victim’s public modulus. No private key needed.»)
  • Для відтворення автор вказує на потребу в доступному через SSH пристрої із зачепленого діапазону, імені користувача та модулі RSA його авторизованого ключа. (підтверджено самою публікацією: доказ; «Preconditions (the disclosure’s own minimum): target username + that user’s authorized RSA public modulus.»)
  • У наведеній лабораторній перевірці підроблений ключ з e=1 дав змогу пройти автентифікацію та виконати команду на RouterOS 7.23.3, а на виправленій 7.23.4 його було відхилено. (підтверджено самою публікацією: доказ; «7.23.3 auth OK auth OK + /system resource print exec — CVE confirmed 7.23.4 (patched) auth OK rejected»)
  • Автор окремо зазначає, що в його тесті RouterOS 6.49.20 відхилила ключ з e=1, тому спостережувану уразливість не підтверджено для цієї версії, попри заявлений CERT діапазон. (підтверджено самою публікацією: доказ; «Version nuance: on 6.49.20 the server-side match rejects the e=1 blob ( /log ssh,debug: can’t find matching key for user: admin ) — the disclosed exponent-omission was not observable in 6.x’s matcher although CERT’s blanket range lists [6.0.0, 6.49.21) .»)
  • Як негайний захід у репозиторії пропонується оновити RouterOS до 7.25beta3, 7.24.2, 7.23.4 або 6.49.21, а до оновлення обмежити доступ до SSH, WWW і bandwidth-test довіреними мережами керування. (підтверджено самою публікацією: доказ; «Patch immediately: 7.25beta3 / 7.24.2 / 7.23.4 / 6.49.21. Interim: restrict SSH/WWW/bandwidth-test to trusted management networks; avoid RouterOS-initiated SSH/TLS from unpatched devices.»)

Першоджерела:

оцінка 81.3 · тип incident · ревізія 1 · історії st-xlr7vb