CVE-2026-88464: переполнение буфера в SNMP RouterOS — исправлено в 7.24 и 7.23.3
Что нового
Релиз носит исключительно security-характер: в нём устранена уязвимость в SNMP-сервисе RouterOS (пакет/служба /snmp, слушает UDP-порт 161). Исправления включены в каналы:
- 7.24 — stable;
- 7.23.3 — long-term.
Уязвимость внесена в коде RouterOS начиная с версии 7.20 — более ранние релизы и ветка RouterOS 6 не подвержены проблеме.
Что исправлено
CVE-2026-88464 — stack buffer overflow в SNMP. Один специально сформированный SNMP-запрос версии 1 или 2c, содержащий OID с большим числом длинных sub-identifier'ов, приводит к падению процесса SNMP. Для эксплуатации не требуется логин — достаточно валидного community string, причём дефолтный public принимается с любого адреса.
Условия срабатывания: служба SNMP должна быть включена и доступна атакующему (из локальной сети, либо из интернета при экспонировании на WAN). По умолчанию SNMP не включён. Публичный отчёт описывает только крэш, однако MikroTik относится к проблеме серьёзно.
Краткое заключение
Обновляться стоит сразу всем, у кого на RouterBOARD включён SNMP и устройство доступно из недоверенных сетей — риск удалённого падения службы без аутентификации реален. Если SNMP не используется — услугу нужно отключить уже сейчас, не дожидаясь планового окна обслуживания. Для устройств с SNMP, открытым на WAN с дефолтным community public, обновление критично в первую очередь.
Перед обновлением: бэкап
/system backup save name=before-upgrade /export file=before-upgrade-export
Сохраните оба файла вне устройства (например, через WinBox → Files → Download), чтобы иметь возможность откатиться.
Скачать пакет
Откройте портал загрузок MikroTik и определите архитектуру вашего устройства:
/system resource print
На mikrotik.com/download выберите канал (Stable → 7.24 или Long-term → 7.23.3), затем «RouterOS» и архитектуру (например, arm, arm64, mipsbe, tile, x86). Скачайте файл routeros-<архитектура>-<версия>.npk и загрузите его на роутер через WinBox (Files → drag&drop) или FileZilla по SFTP.
Альтернатива — обновление прямо с устройства (см. следующий раздел).
Обновление RouterOS / RouterBOARD
/system package update check-for-updates /system package update download /system package update install
После установки роутер перезагрузится. Проверьте, что загрузилась целевая версия:
/system resource print
Затем при необходимости обновите прошивку RouterBOARD:
/system routerboard print /system routerboard upgrade /system reboot
После перезагрузки убедитесь, что current-firmware совпадает с upgrade-firmware. До обновления либо отключите SNMP (/snmp set enabled=no), либо ограничьте доступ к UDP/161 доверенными адресами на уровне firewall.
Источник: MikroTik Security