CVE-2026-103903: обход аутентификации в WinBox MikroTik RouterOS ведёт к повышению привилегий
В WinBox — компоненте MikroTik RouterOS — обнаружена уязвимость неправильной авторизации, позволяющая аутентифицированному атакующему с низкопривилегированной учётной записью получить полную административную сессию. Для этого не требуется знать пароль целевой учётной записи. Уязвимости присвоен высокий уровень критичности CVSS 8.7.
Подробности
Уязвимость относится к классу incorrect authorization (неправильная авторизация) и затрагивает продукты MikroTik RouterOS. Её суть — в некорректной обработке данных на разных этапах аутентификации WinBox. Согласно описанию, механизм многоэтапной аутентификации использует так называемую схему split-principal: проверка EC-SRP-запроса (challenge) и подтверждения (proof) на первом этапе выполняется с использованием учётных данных атакующего, тогда как имя пользователя, независимо передаваемое на втором этапе, применяется для назначения привилегий уже другой учётной записи. Иными словами, сервер проверяет подлинность одного пользователя, а права выдаёт по данным другого. Это позволяет удалённому атакующему, уже имеющему учётные данные низкопривилегированной учётной записи с разрешением на использование WinBox, получить авторизационную политику любого существующего аккаунта. Указав на втором этапе имя более привилегированной учётной записи, например admin, злоумышленник получает полноценную административную сессию — при этом пароль целевого аккаунта ему не нужен. Получив такую сессию, атакующий может повысить привилегии собственной учётной записи и закрепиться в системе. Для эксплуатации требуется лишь действующий низкопривилегированный доступ к WinBox, что делает уязвимость особенно опасной в сценариях, где пользователям выдаются ограниченные учётные записи.Что делать
Основная рекомендация — как можно быстрее обновить MikroTik RouterOS до версии, в которой устранена CVE-2026-103903. Точные номера исправленных версий следует уточнять в официальных рекомендациях производителя: в записи CVE они не указаны, поэтому не стоит полагаться на предположения. До установки обновления целесообразно применить компенсирующие меры: - ограничить доступ к WinBox доверенными сегментами сети и конкретными IP-адресами, закрыв порт от публичных интернет-подключений; - проверить, кто из пользователей и учётных записей имеет право работать через WinBox, и отозвать лишние разрешения; - пересмотреть существующие учётные записи: удалить неиспользуемые, а оставшимся выдать минимально необходимые права; - включить журналирование и мониторинг подключений к WinBox, чтобы своевременно заметить попытки использования аномальных имён пользователей. Если нет уверенности, что устройство не эксплуатировалось, стоит провести аудит: проверить недавно созданные или изменённые учётные записи, изменения конфигурации и подозрительные сессии. Итог: CVE-2026-103903 позволяет превратить рядовой низкопривилегированный доступ в WinBox в полный административный контроль над маршрутизатором. Учитывая высокую оценку CVSS и отсутствие необходимости знать пароль администратора, обновление RouterOS и ограничение доступа к WinBox должны стать приоритетом для администраторов MikroTik.Источник: CVE Project (cvelistV5)