CVE-2025-42611: RouterOS 7.21 — раздельная привязка CA к сервисам
Что нового
В RouterOS 7.21 появилась возможность ограничивать список доверенных удостоверяющих центров (CA) для каждого сервиса отдельно. Раньше OpenVPN, CAPsMAN и Dot1X (802.1X) опирались на единое общесистемное хранилище сертификатов: любой установленный на роутере CA считался доверенным для всех сервисов сразу.
Теперь для каждого сервиса можно явно указать, какой именно CA он должен принимать, не полагаясь на системный стор.
Что исправлено
Устранена слабость архитектуры доверия сертификатов, получившая идентификатор CVE-2025-42611 (сообщено SI-CERT). Суть: если на роутере установлено несколько CA — например, один для OpenVPN, другой для CAPsMAN — сертификат, выпущенный одним CA, мог быть принят сервисом, которому доверять этому CA не следовало. В зависимости от конфигурации это позволяло устройству или пользователю аутентифицироваться там, где он не должен.
Важные ограничения риска: атакующему всё равно нужен сертификат, выпущенный одним из уже установленных на роутере CA. Роутер с единственным CA или вообще без сертификатных сервисов под угрозу не попадает. RouterOS 6 не затронут.
Сканеры уязвимостей могут показывать этот CVE на любой версии RouterOS, но реальная экспозиция зависит от конфигурации. Обратите внимание: сама возможность появилась в 7.21, однако она работает только при явной настройке — после обновления нужно вручную указать каждому сервису доверять только «своему» CA.
Краткое заключение
Обновляться до 7.21+ стоит всем, кто использует более одного CA-сертификата с сервисами, проверяющими сертификаты (OpenVPN, CAPsMAN, Dot1X). Простого апгрейда недостаточно — потребуется перенастроить привязку CA к каждому сервису, иначе поведение останется уязвимым по умолчанию.
Критично: администраторы, использующие несколько CA на одном роутере, и те, у кого на устройствах настраивается клиентская аутентификация по сертификатам. Некритично: роутеры с одним CA или без сертификатных сервисов. MikroTik отдельно рекомендует держать RouterOS в актуальном состоянии, использовать отдельный CA для каждой задачи и удалять ненужные CA-сертификаты.
Перед обновлением: бэкап
/system backup save name=before-upgrade /export file=before-upgrade-export
Дополнительно сохраните копию файлов на внешний носитель или скачайте через WinBox/FTP, чтобы иметь точки восстановления вне устройства.
Скачать пакет
Пакет под вашу архитектуру (arm, arm64, mipsbe, mmips, smips, tile, x86 и т. д.) берётся с официального портала:
https://mikrotik.com/download
Выберите ветку (stable или long-term), затем скачайте файл вида routeros-<version>-<architecture>.npk. Если URL известен точно, можно скачать прямо на роутер:
/tool fetch url="https://download.mikrotik.com/routeros/7.21/routeros-7.21-<architecture>.npk" dst-path=routeros-7.21.npk
Замените <architecture> на свою (например, arm64). Если URL не подходит — скачайте .npk на компьютер и загрузите на роутер через WinBox → Files → Drag&Drop либо по FTP/SFTP.
Обновление RouterOS / RouterBOARD
Штатный путь через сервис обновления:
/system package update check-for-updates /system package update download /system package update install
Если пакет уже загружен вручную в Files, установите его так:
/system package install routeros-7.21.npk /system reboot
После апгрейда RouterOS проверьте и при необходимости обновите прошивку RouterBOARD:
/system routerboard print /system routerboard upgrade /system reboot
Затем вернитесь к настройкам безопасности: убедитесь, что для OpenVPN, CAPsMAN и Dot1X явно задан доверенный CA (только тот, который предназначен для этого сервиса), и удалите с роутера CA-сертификаты, которые больше не используются.
Источник: MikroTik Security