CVE-2026-89035
Açıklama
MikroTik RouterOS 7.24.5 ve öncesi sürümler, WebFig arayüzünde saldırganların yakalanan oturum belirteçlerini yeni ECDH oturumları üzerinden yeniden oynatarak kimlik doğrulama atlatmasına olanak tanıyan bir oturum belirteci yeniden oynatma zafiyeti içermektedir. libucrypto.so içerisindeki makeSessionKey fonksiyonu, kanala veya oturuma özgü girdileri dahil etmeden sabit tuzlar kullanarak belirteçler oluşturmakta ve kullanıcı servisi, kanal bağlamını doğrulamadan belirteçleri giriş deposuna göre onaylamaktadır; bu durum, çalınan belirteçlerin, belirteç deposu açıkça temizlenene kadar kalıcı yönetici erişimi sağlamasına neden olmaktadır. Bu zafiyet, ilgili düzeltmesi yapılmamış temel taşıma katmanı açığının tespit edildiği CVE-2025-61481'in etkisini genişletmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MikroTik RouterOS | v ≤ 7.23.6, 7.24.0 ≤ v ≤ 7.24.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.