MikroTik RouterOS: Wiederverwendung von Session-Token in WebFig ermöglicht Authentifizierungsumgehung
Zusammenfassung
MikroTik RouterOS bis einschliesslich 7.24.5 enthält eine Schwachstelle zur Wiederverwendung von Session-Token im WebFig-Verwaltungsinterface. Die Token-Erzeugung verwendet feste Salts, und der User-Service prüft den Kanalkontext nicht, sodass abgefangene Session-Token in neuen Sitzungen wiederverwendet werden können. Ein erfolgreicher Angreifer erhält dauerhaften administrativen Zugriff, bis der Token-Speicher explizit geleert wird; der Angreifer muss dafür zuerst ein gültiges Token abfangen und Netzwerkzugriff auf das Gerät haben.
Betroffen
- RouterOS bis einschliesslich 7.23.6
- RouterOS 7.24.0 bis 7.24.5
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.
Umgehung
- WebFig deaktivieren, wenn es nicht benötigt wird.
- Falls WebFig benötigt wird, auf ein Management-VLAN oder eine IP-Allowlist beschränken und niemals dem Internet aussetzen.
- Verwaltungszugriff ausschliesslich über HTTPS erzwingen.
- Admin-Anmeldungen und aktive Sitzungen prüfen und Admin-Passwörter nach einem vermuteten Zugriff erneuern.
- Das Verfahren zum Leeren des Token-Speichers ist in den gefundenen Quellen nicht dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
- EPSS 0% zum Zeitpunkt des Quell-Snapshots.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle RouterOS-Geräte und deren Versionen inventarisieren und betroffene Versionen markieren.
- Prüfen, ob WebFig aus dem Internet oder aus Gast- beziehungsweise Benutzernetzen erreichbar ist, und den Zugriff einschränken oder deaktivieren.
- HTTPS erzwingen und Admin-Zugriff auf vertrauenswürdige Management-Netzwerke beschränken.
- Release Notes von MikroTik und die Warnung von VulnCheck auf eine korrigierte Version und bestätigte Schritte zum Leeren bestehender Sitzungen überwachen.
- Ausnutzungsstatus (KEV, EPSS) regelmässig überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Rapid7 vulnerability database entry www.rapid7.com
- GitHub inventory checker project github.com
- VulDB entry vuldb.com
- CVE Details for related CVE-2025-61481 www.cvedetails.com
- CIRCL vulnerability lookup for CVE-2025-61481 vulnerability.circl.lu
- Cyber Defence CVE summary www.cyber-defence.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.