MikroTrick链允许攻击者在没有密码或SSH密钥的情况下接管MikroTik路由器

原创

零向量实验室
零向量实验室

零向量实验室

2026年9月24日 09:29
中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

两个MikroTik RouterOS SSH漏洞连在一起，可让攻击者在没有密码、SSH密钥或完整身份验证的情况下，对暴露在互联网上的路由器进行完全管理控制。

CERT Polska称之为 米克罗特里克，结合了SSH状态机器缺陷(CVE-2026-67279)，在RouterOS登录过程中存在参数注入错误(CVE-2026-86060)。攻击日志的日期至少为9月2日，即MikroTik在RouterOS 6.49.21、7.23.4和7.24.2中发布补丁的前一天。

作为 先前报告CERT Polska在9月5日警告称，攻击者正在利用RouterOS漏洞控制SSH服务可从公共网络访问的设备。

该警告证实了该漏洞的利用，并敦促立即进行修补，但没有确定哪两个漏洞构成了该链，也没有解释它们是如何结合的 最新分析 提供两者。

链条如何工作

SSH需要三个步骤：建立加密连接，验证用户，然后才允许客户端打开会话并运行命令。服务器发送一条特定消息（SSH\_MSG\_USERAUTH\_SUCCESS）以确认身份验证已通过。

CVE-2026-67279会破坏此序列。如果客户端在身份验证步骤中启动SSH密钥重新协商，则在重新协商完成后，易受攻击的RouterOS会直接进入命令阶段，而无需确认用户身份。

该漏洞不会自行创建经过身份验证的会话或授予任何权限，但会允许未经身份验证的客户端进入需要完成登录的阶段。

CVE-2026-86060将该访问权限转换为完全管理控制。RouterOS启动一个登录程序（/nova/bin/login），该程序从SSH守护进程接收用户名和权限级别作为命令行参数，而无需先检查用户名。以连字符开头的值被视为程序选项而不是名称。

攻击者发送-2作为用户名。登录程序将其视为从文件描述符2读取其身份和权限级别的指令，该文件描述符2指向SSH会话创建的终端。

用户名:SSH登录日志-2

账户信息：完全权限组中的ops

IP地址:82.192.72.4（在成功的攻击中观察到）

IP地址:103.102.31.18（用于攻击企图）

管理员还应检查未知用户、脚本、调度程序条目、隧道、代理、意外的.rif诊断文件或无法解释的获取活动。

如果存在这些指标中的任何一个，CERT Polska建议隔离设备，保留其日志和配置，将其恢复出厂设置，并从可信配置重建设备。

应更改所有密码、密钥和其他凭据。不应恢复来自受感染设备的备份。

CERT Polska使用AI模型，包括通过OpenAI GTAC计划的GPT-5.5-cyber和GPT-5.6-sol，以及本地托管的开放权重模型，在研究期间自动化实验室测试和协议分析。每个发现都经过真实RouterOS系统的验证。