Intel

CVE-2026-67277

MikroTik RouterOS — MikroTik RouterOS Missing Authentication for Critical Function Vulnerability

criticalKEV: aktiv ausgenutztPoCEPSS 0.4 %

Beschreibung

RouterOS akzeptiert eine "related" btest-Verbindung, bevor die entsprechende primäre Sitzung die Authentifizierung abgeschlossen hat. Ein nicht authentifizierter Client kann diesen Zustand nutzen, um einen IPv4 UDP-Test zu starten. Bei "random-data=false" sendet der Sender eine uninitialisierte Schwanz von einem Kernel-Paketpuffer. Eine separate ungeprüfte, invertierte Paketgrößenintervall verursacht einen Unterlauf eines nicht signierten Ganzzahls und anomal groß fragmentierte Ausgabe, was den RouterOS-Kernel neu starten kann. Dieses Problem wurde in den Versionen behoben: 6.49.21 (Langzeit), 7.23.4 (Langzeit) und 7.24.2 (Stabil).

Quelle: EUVDNVDCVELISTV5CISA_KEV

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2026-67277 kombiniert zwei kritische Auswirkungen — Kernel-Memory-Disclosure (Informationsabfluss aus nicht initialisiertem Kernel-Puffer) und Denial of Service durch Kernel-Neustart — und ist ohne Authentifizierung aus dem Netz ausnutzbar. Der EPSS-Score von 0,43 % (Perzentile 44) ist moderat, aber die Aufnahme in die CISA-KEV-Liste belegt aktive Ausnutzung in der Praxis. Für KRITIS-Betreiber (NIS2-Scope) ist die Verfügbarkeit von Netzübergängen ein Schutzziel der höchsten Kategorie — ein Kernel-Neustart eines Perimeter-Routers entspricht einem vollständigen Netzwerkausfall. Organisationen mit MikroTik-Geräten an Internet-Übergängen, in OT-Netzen oder als CPE in Managed-Service-Umgebungen sollten diesen Patch als P1 behandeln und innerhalb von 24 Stunden umsetzen oder den btest-Dienst sofort deaktivieren.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch einspielen (höchste Priorität): RouterOS auf Version 6.49.21 (Long-term), 7.23.4 (Long-term) oder 7.24.2 (Stable) aktualisieren — je nach eingesetztem Release-Kanal. Update über Winbox, WebFig oder CLI (/system package update install) durchführen und Gerät neu starten.
  • btest-Dienst deaktivieren, sofern nicht betrieblich erforderlich: Auf allen MikroTik-Geräten, die nicht aktiv Bandbreitentests durchführen, den Bandwidth-Test-Server abschalten: /tool bandwidth-server set enabled=no. Dies eliminiert die angreifbare Angriffsfläche vollständig.
  • Firewall-Regel setzen — UDP-Port 2000 blockieren: Den btest-Dienst lauscht standardmäßig auf TCP/UDP 2000. Eingehenden Verkehr auf Port 2000 aus nicht vertrauenswürdigen Netzsegmenten an der Perimeter-Firewall und auf dem Gerät selbst sperren: /ip firewall filter add chain=input protocol=udp dst-port=2000 src-address-list=!trusted action=drop.
  • Management-Zugang auf dedizierte Management-VLANs beschränken: RouterOS-Geräte dürfen aus dem Internet oder aus Nutzer-VLANs nicht direkt erreichbar sein. Sicherstellen, dass nur das Management-VLAN (z. B. per /ip firewall filter oder Layer-2-ACL am Switch) Zugriff auf das Gerät hat.
  • Inventar prüfen: Alle MikroTik-Geräte im Netz identifizieren (SNMP-Discovery, Nmap-Fingerprinting auf Port 8291/Winbox, 80/443/WebFig, 22/SSH) und betroffene Versionen priorisieren. KRITIS-Betreiber sollten Geräte an Netzübergängen und in OT-Netzen zuerst patchen.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: MikroTik-Router, die nicht sofort gepatcht werden können, hinter einer vorgelagerten Stateful-Firewall isolieren. Kein direkter Internetzugang auf Port 2000 (TCP/UDP). Ausgehende Verbindungen vom Router auf bekannte Ziele beschränken.
  • IPS/IDS-Signatur für btest-Exploit-Verkehr: Suricata-Regel zur Erkennung von unauthentifizierten btest-Verbindungsversuchen auf UDP/2000 mit anomal großen Fragmenten: alert udp any any -> $HOME_NET 2000 (msg:"CVE-2026-67277 MikroTik btest unauth UDP"; fragbits:M; threshold:type both,track by_src,count 5,seconds 10; sid:2026672770; rev:1;)
  • WAF/Perimeter: Sofern ein vorgelagertes UTM-System vorhanden ist, UDP-Port 2000 generell blockieren und Logging aktivieren — btest hat keinen legitimen Einsatzzweck aus dem Internet.
  • Least-Privilege für RouterOS-Konten: Alle RouterOS-Benutzerkonten auf minimale Rechte reduzieren; Standard-Benutzer admin umbenennen oder deaktivieren. API- und Winbox-Zugang auf IP-Whitelist beschränken (/user set [find name=admin] address=<mgmt-subnet>).
  • Kernel-Neustart-Monitoring: Da die Schwachstelle einen Kernel-Neustart auslösen kann, Syslog-Alerting auf RouterOS-Reboot-Ereignisse einrichten (Syslog-Topic system, Meldung system rebooted). Unerwartete Neustarts sind ein Indikator für aktive Ausnutzung.

Runbook · Schritt 3

Detection-Regeln

  • Netzwerk-Telemetrie (Zeek/Suricata): Ungewöhnlich viele UDP-Pakete an Port 2000 von externen oder nicht autorisierten Quell-IPs — insbesondere fragmentierte UDP-Pakete mit anomal großen Längenfeldern (> MTU ohne legitimen Tunnel-Kontext). Suricata: alert udp any any -> any 2000 (fragbits:M; msg:"Fragmented UDP to btest port"; sid:2026672771;)
  • RouterOS-Syslog: Meldungen kernel: Oops, system rebooted, oder btest in Verbindung mit unbekannten Quell-IPs im Syslog. Syslog-Forwarding an zentrales SIEM konfigurieren (/system logging action set remote bsd-syslog=yes).
  • Netflow/IPFIX-Anomalie: Plötzlicher Anstieg ausgehender UDP-Fragmente vom Router (Kernel-Buffer-Leak führt zu anomal großen Antwortpaketen) — Baseline-Abweichung > 3σ auf Bytes-per-flow für UDP-Flows von Port 2000.
  • SIEM-Korrelationsregel (SPL-Skizze): index=network sourcetype=suricata dest_port=2000 proto=UDP | stats count by src_ip | where count > 20 Schwellenwert an das eigene Baseline-Volumen anpassen.
  • Verfügbarkeits-Monitoring: Unerwartete ICMP-Unreachable-Antworten oder Ausfall von Routing-Adjacencies (BGP/OSPF Session-Drop) nach UDP-Bursts auf Port 2000 als Indikator für erfolgreichen DoS-Angriff werten.

Metriken

Severity
critical
Priority-Score
200.40
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
8.8
Quelle: cna-v4
CVSS v3
—
CVSS v4
8.8
EPSS-Perzentil
44.0 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-05 20:17 UTC
CWE
CWE-306

Weakness-Klassen (CWE)

  • CWE-306Base

    Missing Authentication for Critical Function

    The product does not perform any authentication for functionality that requires a provable user identity or consumes a significant amount of resources.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-11 04:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technic… → {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technic…
  2. CVE CISA KEV Update2026-09-10 22:00 UTC· 9119a7d8-5eab-497f-8521-727c672e3725
    • Date Added: 2026-09-10
    • Due Date: 2026-09-10
    • Required Action: 2026-09-10
    • Vulnerability Name: 2026-09-10
  3. CVE Modified2026-09-10 20:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-67277
    • SSVC: {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical… → {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technic…
  4. CVE Modified2026-09-09 05:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI… → {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…
  5. CVE Modified2026-09-08 16:18 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-67277","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

IDCVE-2026-67277