CVE-2026-89020: переполнение буфера в /tool fetch, исправлено в RouterOS 7.24.2, 7.23.4 и 6.49.21

Что нового

Это security-релиз: новых функций в перечисленных версиях нет, они выпущены для закрытия CVE-2026-89020. Исправление вошло в три канала:

• 7.24.2 (stable)
• 7.23.4 (long-term)
• 6.49.21 (stable / long-term)

Рекомендуется перейти на любую из этих версий или более новую.

Что исправлено

В инструменте /tool fetch обнаружено переполнение буфера: оно срабатывает, если передать очень длинный адрес вида tftp://. Аутентифицированный пользователь может вызвать краш процесса fetch.

Кто подвержен риску: RouterOS 6 и 7 до исправленных версий. Для эксплойта атакующему нужен валидный логин и пароль на роутере. Сработает даже учётная запись с правами read-only, поэтому критично для устройств с несколькими пользователями или общими логинами.

Публичный отчёт описывает только краш, но в MikroTik отмечают, что проблемы с повреждением памяти такого класса иногда удаётся использовать шире, чем просто падение процесса, и рекомендуют обновляться, а не полагаться на ограниченные права учётных записей.

Краткое заключение

Обновляться стоит сейчас — это security-фикс, а не косметика. Наиболее срочно — для роутеров с несколькими учётными записями, общими логинами и доступными из недоверенных сетей сервисами управления. До апгрейда проверьте и почистите список пользователей, уберите лишние аккаунты и закройте management-сервисы файрволом.

Перед обновлением: бэкап

/system backup save name=before-upgrade
/export file=before-upgrade-export

Скачать пакет

Проще всего обновляться через /system package update (см. следующий раздел). Если нужен ручной пакет — скачайте его с официального портала mikrotik.com/download, выбрав архитектуру вашего устройства (ARM, ARM64, MIPSBE, MMIPS, SMIPS, x86, TILE и т.д.) и нужный канал (stable / long-term).

Загрузить пакет на роутер можно через WinBox (Files → Upload) или веб-интерфейс. Либо, если роутер имеет доступ в интернет, скачать прямо на устройство:

/tool fetch url="https://download.mikrotik.com/routeros/7.24.2/routeros-7.24.2-arm.npk" dst-path=routeros-7.24.2-arm.npk

Замените 7.24.2 и arm на актуальные для вашей модели версию и архитектуру. Точный URL берите на странице загрузки mikrotik.com.

Обновление RouterOS / RouterBOARD

Штатный способ через сам роутер:

/system package update check-for-updates
/system package update download
/system package update install

Если пакет загружен вручную в Files, установка выполняется так:

/system reboot

После обновления RouterOS проверьте и при необходимости обновите прошивку RouterBOARD:

/system routerboard print
/system routerboard upgrade
/system reboot

До обновления

Пока апгрейд не выполнен, проверите учётные записи и доступ к сервисам управления:

/user print
/user disable [find name="<лишний_логин>"]
/ip service print

Убедитесь, что WinBox, SSH, WebFig и API недоступны из недоверенных сетей — фильтруйте их на input-цепочке firewall.

Источник: MikroTik Security