if ( !emtpy($headline_subheadline ) ) : ?>
MikroTrick regroupe deux des six vulnérabilités corrigées pour obtenir les privilèges root sur les appareils MikroTik avec SSH exposés à Internet, dont ils sont plus de 120 000.
endif; ?>
Le fabricant d’équipements réseau MikroTik a publié des correctifs pour six vulnérabilités dans son micrologiciel RouterOS, dont deux peuvent être enchaînées pour prendre le contrôle des appareils sans authentification via SSH. La chaîne d’exploits, baptisée MikroTrick, est déjà utilisée par des attaquants dans la nature.
Les vulnérabilités, découvertes par les chercheurs du CERT Polska, se situent dans divers composants du micrologiciel, notamment le serveur et le client SSH, le service de test de bande passante, le code de gestion des certificats X.509 et l’interface WebFig.
« Ces derniers jours, nous avons observé des attaques contre les appareils RouterOS accessibles depuis Internet », a déclaré l’équipe polonaise du CERT dans un rapport. « Nous avons obtenu la confirmation que les attaquants exploitent cette combinaison de vulnérabilités pour prendre le contrôle total des appareils dont le service SSH est accessible depuis les réseaux publics. »
MikroTik a publié des correctifs dans RouterOS 7.25 bêta 3, 7.24.2, 7.23.4 et 6.49.21 et déconseille d’activer le service SSH sur l’interface Internet. Bien qu’il ne s’agisse pas de la configuration par défaut, plus de 122 500 appareils MikroTik disposent d’un SSH accessible depuis Internet, selon les analyses effectuées par la Shadowserver Foundation, les chiffres les plus élevés étant enregistrés au Brésil, aux États-Unis et en Indonésie.
Basée en Lettonie, MikroTik fabrique des routeurs, des commutateurs et d’autres appareils réseau pour un large éventail de clients, des petites entreprises aux grandes entreprises. Ses produits sont utilisés dans de nombreux secteurs, notamment les télécommunications, l’éducation et le gouvernement.
« Si vous avez ouvert manuellement ce port (SSH), assurez-vous que seule une adresse IP fiable peut y accéder, ou mieux encore, utilisez un VPN puissant comme WireGuard pour accéder à votre routeur et n’ouvrez aucun port de gestion », indique la société dans son avis. « RouterOS vérifiera si votre appareil a été compromis et le définira sur le statut ‘Marqué’ si c’est le cas. Cela sera écrit dans la section ‘Journal’. »
Échec de la validation de la clé SSH
La faille la plus grave, identifiée comme CVE-2026-67276, provient d’une validation incorrecte des clés publiques RSA des utilisateurs, un élément clé de l’authentification SSH. SSH est considéré comme un protocole très solide et bien révisé qui s’appuie sur la cryptographie à clé publique pour la validation et l’authentification de l’identité du serveur et de l’utilisateur.
En raison d’une erreur d’implémentation, RouterOS ne compare pas l’intégralité de la clé publique présentée par un utilisateur, ce qui permet à un attaquant connaissant le nom d’utilisateur et le module public de la clé de l’utilisateur de créer une clé privée lui permettant de s’authentifier en tant qu’utilisateur.
Le privilège obtenu est celui de l’utilisateur ciblé ; cependant, une deuxième vulnérabilité (CVE-2026-86060) entre en jeu, leur permettant d’élever les privilèges vers root. Cela provient d’une autre erreur d’implémentation de SSH dans la gestion des noms d’utilisateur avec des caractères spéciaux au début. Cela permet aux attaquants de créer des noms d’utilisateur dotés de privilèges administratifs complets sur le système d’exploitation sous-jacent.
Atténuation
Le mécanisme d’état signalé ajouté par MikroTik est un indicateur que la configuration du routeur présente des signes de modifications non autorisées, mais pas quelles vulnérabilités ont été utilisées pour les effectuer. De plus, l’absence de ce marqueur n’indique pas nécessairement que l’appareil est sûr et non vulnérable.
« Nous ne pouvons pas exclure l’existence de vulnérabilités inconnues de nous et que le fournisseur n’a pas décrites dans le journal des modifications », a déclaré l’équipe CERT Polska. « Le marqueur ‘Flagged’ pour les appareils compromis doit donc être traité comme une indication d’une éventuelle compromission antérieure, et non comme une preuve que l’une des vulnérabilités signalées par CERT Polska a été exploitée. »
Si un appareil possède le marqueur Flagged, il doit être immédiatement isolé, sa configuration et ses journaux doivent être enregistrés, puis il doit être réinitialisé aux paramètres d’usine et reconfiguré à partir d’un fichier vierge. Toutes les clés et mots de passe utilisés sur l’appareil doivent être alternés.
Si les mises à jour de sécurité ne peuvent pas être appliquées immédiatement, les utilisateurs doivent désactiver ou bloquer l’accès à SSH, WWW/WWW-SSL et au serveur de test de bande passante à partir de réseaux non fiables.
« N’initiez pas de connexions TLS à partir d’un appareil non corrigé et n’utilisez pas les clients SSH intégrés (/system ssh et /system ssh-exec), en particulier lorsque la communication passe par des réseaux non fiables ou est dirigée vers des hôtes non fiables », ont déclaré les chercheurs.
