CVE-2026-89021

7.24.2 versiyasından əvvəlki MikroTik RouterOS, container paketinin OCI/tar təsvirinin çıxarılması prosesində yol keçidi (path traversal) zəifliyinə malikdir. Bu zəiflik, hücumçulara ixtiyari yollara yönəlmiş simvolik keçidləri (symlinks) olan xüsusi hazırlanmış konteyner təsviri təqdim etməklə faylları konteyner kökündən kənarda yazmağa imkan verir. Hücumçular /container/add vasitəsilə konteyner idxalı zamanı təmizlənməmiş tar üzvünün yol çıxarılmasından istifadə edərək, konteyneri heç vaxt başlatmadan dayanıqlı məlumat bölməsində root səlahiyyətli fayl yaradılmasına, kataloq yaradılmasına, overlayfs whiteout vasitəsilə faylların silinməsinə və hardlink yaradılmasına nail ola bilərlər. 7.23.x uzunmüddətli budaqda bu düzəliş mövcud deyil; container-7.23.3.npk və container-7.23.4.npk fayllarındakı konteyner binar faylları bayt səviyyəsində eynidir. Vendor təsdiq etmişdir ki, problem uzunmüddətli buraxılışda həll edilməyib və düzəliş yalnız 7.24.2 versiyasından başlayaraq stabil budaqda tətbiq edilmişdir, uzunmüddətli budağa isə heç bir geri portlaşdırma (backport) planlaşdırılmayıb.