MikroTik RouterOS WebFigに認証回避 修正版は未公表
MikroTik RouterOS の管理画面 WebFig に、盗まれたセッショントークンを再利用すると認証なしで管理者権限を得られる弱点が見つかりました。7.23.6 以前と 7.24.0〜7.24.5 が対象で、修正版の情報は公表されていません。WebFig の到達範囲を管理用ネットワークに絞り、MikroTik の告知を確認してください。
急ぎ度: 早めに
攻撃にはトークンの入手が前提で難度は高めですが、成功すると管理者権限を奪われ、修正版の情報もまだ公表されていないためです。
関係があるか
WebFig(ブラウザの管理画面)を有効にした RouterOS 機器が対象です。管理画面に外部や社内の広い範囲から到達できる環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| MikroTik RouterOS | 7.23.6 以前、および 7.24.0 から 7.24.5 まで | 公表されていません。MikroTik の告知で確認してください |
確かめ方
- 1ルーターの版を確認します。
/system resource printの version が上記の範囲に入っていれば対象です。 - 2WebFig が有効か確認します。
/ip service printで www(HTTP)や www-ssl(HTTPS)が無効になっていなければ、WebFig が使える状態です。 - 3WebFig にどこから到達できるかを確認します。
/ip service printの address 欄が空なら、到達できる範囲に制限がありません。ファイアウォールの設定も合わせて見てください。 - 4拠点ルーターや検証機など、台帳に載っていない RouterOS 機器がないか洗い出します。
何が起きたか
RouterOS の WebFig に、認証をすり抜けられる弱点が見つかりました。ログイン後にできるセッションの証明(トークン)を第三者が手に入れると、別の接続からそのトークンを使い回して、管理者としてログインした状態になれます。ログインにはパスワードが必要なはずですが、それが不要になります。
原因は、トークンの作り方と確認の仕方にあります。libucrypto.so の makeSessionKey 関数が固定の値(ソルト)でトークンを作っており、接続ごとの情報を反映していません。さらに、ユーザー認証を担当するサービスも、どの接続で作られたトークンかを確かめずに、ログイン情報の保管場所と照合するだけで受け入れます。そのため、盗まれたトークンは新しい ECDH セッション(鍵交換を伴う接続)でも通用します。
トークンは保管場所が明示的に消去されるまで有効で、盗まれた管理者権限が長く維持されるおそれがあります。この弱点は CVE-2025-61481 の影響を広げるものです。CVE-2025-61481 では通信経路上の問題が指摘されましたが、対応する修正は出ていませんでした。分類は CWE-613(セッションの有効期限の不備)です。
攻撃の流れ
-
1
トークン入手
通信経路上の弱点などを足がかりに、管理者のセッショントークンを手に入れます。
-
2
新規接続を開始
攻撃者が WebFig に新しい ECDH セッションを張ります。
-
3
トークンを再送
盗んだトークンを新しい接続で提示します。
-
4
認証なしで受理
接続の素性が確認されないため、トークンがそのまま有効と判定されます。
-
5
管理権限を維持
保管場所が消去されるまで、管理者としての操作が続けられます。
どう悪用されるか
ネットワーク越しに攻撃でき、事前の認証も利用者の操作も要りません。ただし、攻撃にはセッショントークンの入手が前提で、評価でも攻撃の難度は高めとされています。通信を盗み見できる位置にいるかどうかが、現実的な危険度を左右します。
成功した場合、管理者権限で設定の閲覧と変更ができます。CVSS v3.1 は 7.4(High)、CVSS v4.0 は 9.1 です。機密性と完全性への影響が大きく、可用性への影響は想定されていません。ルーターの設定が書き換えられると、通信の経路や社内ネットワークの入口の防御に影響が及ぶ可能性があります。
実際の攻撃で悪用されたかどうかは、現時点で明らかになっていません。
今すぐやること
-
1
対象の機器と版を洗い出す
運用中の RouterOS 機器すべてについて版を確認し、7.23.6 以前または 7.24.0〜7.24.5 のものを一覧にします。
/system resource print -
2
WebFig の到達範囲を絞る
WebFig を使わないなら www と www-ssl のサービスを無効にします。使う場合は、管理用ネットワークや VPN 経由の送信元だけに許可します。インターネット側からは到達できないようにしてください。
/ip service print -
3
MikroTik の告知で修正版を確認する
修正版の有無と版番号は公表されていません。MikroTik の公式告知とリリースノートを定期的に確認し、出たら検証の上で適用します。VulnCheck の解説も参考になります。
-
4
管理者のログイン状況を確認する
身に覚えのないログインや設定変更がないか確認します。不審な点があれば、パスワード変更と、トークンを無効にする方法をベンダーに確認します。
/user active print
すぐ更新できないとき
修正版が出るまでは、WebFig を使わない運用が最も確実です。www と www-ssl のサービスを無効にし、管理は別の手段で行います。WebFig を使い続ける場合は、許可する送信元アドレスを管理用ネットワークに限定し、管理通信を VPN などの信頼できる経路に通してください。この弱点は通信経路でのトークン入手が前提になるため、管理通信を盗み見されにくい経路にすることが、被害を減らす助けになります。他のサービス(Winbox や SSH など)への影響は公表されていないため、あわせて到達範囲の見直しをお勧めします。
背景
RouterOS は MikroTik のルーターやスイッチに載っているネットワーク OS で、拠点間の接続、インターネットの出口、VPN など、社内ネットワークの要所を担います。WebFig はその設定をブラウザから行う管理画面です。ここを乗っ取られると、通信の制御そのものを握られかねません。
ルーターなどのネットワーク機器の管理画面では、認証やセッション管理の不備が繰り返し問題になってきました。機器は更新の手間から古い版のまま使われやすく、管理画面が外部から見える状態のまま放置されがちです。今回のように、セッション情報が接続ごとに結び付けられていない問題は、通信が盗み見られた場合に被害が広がります。
よくある質問
Q.WebFig を使っていなければ影響はありませんか。
/ip service print で実際の状態を確認してください。Q.パスワードを変えれば防げますか。
Q.すでに悪用されているのですか。
まだ分かっていないこと
- 修正版の版番号と公開時期は公表されていません。
- 実際の攻撃での悪用の有無は、現時点で明らかになっていません。
- 盗まれたトークンを無効にする公式の手順は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| MikroTik | RouterOS |
7.23.6 以前 7.24.0 〜 7.24.5 |
— — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
MikroTik RouterOS through 7.24.5 contains a session token replay vulnerability in the WebFig interface that allows attackers to bypass authentication by replaying captured session tokens across new ECDH sessions. The makeSessionKey function in libucrypto.so generates tokens using fixed salts without incorporating channel-specific or session-specific input, and the user service validates tokens against the login store without verifying channel context, enabling stolen tokens to grant persistent administrative access until the token store is explicitly cleared. This vulnerability extends the impact of CVE-2025-61481, which identified the underlying transport-layer exposure without a corresponding fix.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com