⏱ O‘qish vaqti: 1 daqiqa
Qisqacha
- CVE‑2026‑89035 RouterOS 7.24.5‑ga ta’sir qiladi.
- WebFig sessiya tokenlari qayta ishlatilganda autentifikatsiya o‘tkaziladi.
- Tokenlar
makeSessionKeyfunksiyasida doimiy tuzilmalar bilan yaratiladi. - Ta’sir doirasi 0‑7.23.6 va 7.24.0‑7.24.5 versiyalarini o‘z ichiga oladi.
- CVE‑2025‑61481 ning transport‑layer zaifligini kengaytiradi.
2026‑yil 21‑oktabrda CVE‑2026‑89035 raqamli xavfsizlik zaifligi e’lon qilindi. Zaiflik MikroTik RouterOS 7.24.5 versiyasidagi WebFig interfeysida sessiya tokenlarini qayta ishlatish orqali kirish o‘tkazishga imkon beradi. Bu holatda hujumchi olingan tokenni yangi ECDH sessiyasida takrorlab, administrator huquqlarini olishi mumkin. Zaiflik avvalgi CVE‑2025‑61481 transport‑layer muammosini yanada kengaytiradi.
Zaiflik tavsifi
MikroTik RouterOS 7.24.5‑da makeSessionKey funksiyasi libucrypto.so kutubxonasida doimiy tuzilmalar (fixed salts) bilan sessiya tokenlarini yaratadi. Foydalanuvchi servisi tokenni login do‘konida tekshiradi, lekin kanal kontekstini tekshirmaydi, shuning uchun olingan tokenni boshqa sessiyalarda ishlatish mumkin.
- Tokenlar kanalga xos ma’lumotni o‘z ichiga olmaydi
- Tokenni tasdiqlashda ECDH sessiyasi konteksti e’tiborga olinmaydi
- Hujumchi tokenni ushlab, yangi sessiyada qayta ishlatib, admin huquqlarini oladi
Xavfsizlik tavsiyalari
MikroTik foydalanuvchilari RouterOS 7.24.5‑ni yangilangan versiyaga (yangi xavfsizlik tuzatishlari bilan) o‘rnatishlari tavsiya etiladi. Token do‘konini tozalash ham muhim, chunki olingan tokenlar doimiy admin kirishini ta’minlaydi.
- RouterOS 7.24.5‑dan keyingi barqaror versiyaga yangilash
- WebFig interfeysiga kirishni IP‑filtrlar bilan cheklash
Bu nima uchun muhim?
O‘zbekiston tarmoq administratorlari uchun bu zaiflik routerga ruxsatsiz kirish va konfiguratsiyani o‘zgartirish xavfini keltirib chiqaradi. Tezkor yangilanish va token do‘konini tozalash tarmoq xavfsizligini saqlashga yordam beradi.
