CVE-2026-89021: обход каталога в RouterOS container, фикс в 7.24.2 stable

Что нового

В выпуске RouterOS 7.24.2 (stable) закрыта уязвимость CVE-2026-89021 в механизме импорта container-образов. Изменений функциональности для администратора нет: container продолжает работать как прежде, но при импорте образа симлинки и ссылки внутри него больше не могут вывести операции записи за пределы директории самого контейнера.

Отдельно отмечено, что фикс не включён в long-term ветку 7.23.x и бэкпорт не планируется. Пользователям long-term, применяющим контейнеры, нужно перейти на stable (7.24.2 или новее).

Что исправлено

Path traversal в container feature. При импорте образа специально подготовленные ссылки внутри него позволяли записывать или удалять файлы вне каталога контейнера — в любом месте хранилища роутера. Запускать контейнер не требуется: достаточно импортировать образ.

Кого затрагивает: только устройства, где используется container. Пакет container не входит в состав по умолчанию, функцию нужно явно включить. Если контейнеры не используются — уязвимость не актуальна. RouterOS 6 не содержит container и не затронута.

Кто может сработать триггер: пользователь с правами на добавление контейнеров. Основной вектор — образы из недоверенных источников, особенно из публичных реестров.

Краткое заключение

Обновление критично для всех, кто импортирует container-образы, а особенно — тянет их из публичных реестров. Так как эксплойт срабатывает уже на этапе импорта, достаточно один раз загрузить подделанный образ, чтобы получить запись/удаление файлов в произвольных путях хранилища. Обновитесь до 7.24.2 stable. Если вы на 7.23.x long-term и контейнеры не используете — срочности нет, но плановый апгрейд до stable всё равно рекомендуется. До обновления импортируйте только те образы, которые вы собрали сами или получили из доверенного источника, и ограничьте права на добавление контейнеров.

Перед обновлением: бэкап

/system backup save name=before-upgrade
/export file=before-upgrade-export

Сохраните оба файла вне роутера (например, скачайте через WinBox → Files).

Скачать пакет

Портал загрузок: mikrotik.com/download. Выберите ветку Stable → 7.24.2, затем архитектуру вашего устройства (ARM64, ARM, MIPSBE, MMIPS, SMIPS, TILE, x86 — точную смотрите в /system resource print), скачайте пакет routeros-<arch>-7.24.2.npk и загрузите его на роутер (WinBox → Files → drag&drop, либо через FTP/SFTP).

Если предпочитаете скачать пакет прямо на роутер, укажите URL под вашу архитектуру, например для ARM64:

/tool fetch url="https://download.mikrotik.com/routeros/7.24.2/routeros-arm64-7.24.2.npk" dst-path=routeros-arm64-7.24.2.npk

Замените arm64 на архитектуру вашего устройства. Для CHR используйте образ chr-7.24.2.img.zip с портала загрузок.

Обновление RouterOS / RouterBOARD

Штатный путь обновления через канал stable:

/system package update check-for-updates
/system package update download
/system package update install

Если пакет уже загружен вручную в Files, установите его перезагрузкой — RouterOS подхватит .npk из корня хранилища:

/system reboot

После обновления RouterOS проверьте и при необходимости обновите прошивку RouterBOARD:

/system routerboard print
/system routerboard upgrade
/system reboot

После перезагрузки убедитесь, что версия соответствует целевой:

/system resource print

Источник: MikroTik Security