MikroTik łata RouterOS, część luk zgłosił CERT Polska

MikroTik opublikował 3 września 2026 roku poprawki dla kilku utrzymywanych gałęzi RouterOS: 7.25beta3, 7.24.2, 7.23.4 oraz 6.49.21. Producent określił wydanie jako ważną aktualizację bezpieczeństwa i tymczasowo nie ujawnił szczegółów podatności, żeby dać administratorom czas na aktualizację urządzeń. Część poprawek dotyczy luk odnalezionych przez Sławomira Rozbickiego z zespołu CERT Polska, zgłoszonych w ramach skoordynowanego ujawniania podatności. Analiza różnicowa pokazała, że poprawione wersje sprawdzają nazwę użytkownika przed przekazaniem jej do aplikacji /nova/bin/login, co wskazuje, że wcześniej nazwa mogła wpływać na sposób interpretowania argumentów tego programu. Doszła też reguła mechanizmu Flagged wykrywająca przy starcie konto ops należące do uprzywilejowanej grupy full: RouterOS wyłącza takie konto, zapisuje ostrzeżenie i ustawia status Flagged.

Kogo dotyczy

Użytkownicy routerów MikroTik z systemem RouterOS w gałęziach objętych wydaniem, czyli przed wersjami 7.25beta3, 7.24.2, 7.23.4 i 6.49.21. Producent wysłał powiadomienia push w aplikacji MikroTik, podkreślając konieczność podniesienia wersji.

Co zrobić

Zainstaluj możliwie szybko poprawioną wersję RouterOS właściwą dla swojej gałęzi: 7.25beta3, 7.24.2, 7.23.4 albo 6.49.21. Sprawdź też, czy w konfiguracji nie ma konta ops w grupie full oraz czy urządzenie nie ma ustawionego statusu Flagged.