MikroTik RouterOS SSH 인증 우회 및 파일 조작 취약점 보안 권고 (CVE-2026-67279)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTMikroTik RouterOS 6.x 및 7.x 버전 (특정 패치 버전 미만)
인증되지 않은 공격자가 SSH를 통해 시스템 파일을 생성, 덮어쓰기 또는 수정하여 설정 데이터 탈취 및 장치 제어권 획득 가능
최신 보안 패치(6.49.21, 7.23.4, 7.24.2 이상) 적용 및 SSH 서비스 접근 제한
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND가장 확실한 해결책은 제조사에서 제공하는 최신 보안 패치가 적용된 버전으로 업그레이드하는 것입니다.
1. 펌웨어 업데이트
RouterOS CLI 또는 WinBox를 통해 다음 버전 이상으로 업데이트하십시오.
- v6.49.21 (Long-term)
- v7.23.4 (Long-term)
- v7.24.2 (Stable)
2. 임시 완화 조치 (패치 불가 시)
패치 적용 전까지 SSH 서비스를 비활성화하거나, 신뢰할 수 있는 관리자 IP 대역으로만 접근을 제한하십시오.
# SSH 서비스 비활성화
/ip service set ssh disabled=yes
# 또는 특정 IP 대역에서만 SSH 접근 허용
/ip service set ssh address=192.168.88.0/24반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 MikroTik RouterOS의 SSH 구현부에서 발생하는 워크플로우 제어 결함(CWE-841)으로 인해 발생합니다. 공격자는 SSH 연결 시 사용자 인증을 시도하지 않은 상태에서 Rekey(키 재교환)를 요청함으로써, 인증 단계를 건너뛰고 바로 연결 프로토콜(Connection Protocol)로 진입할 수 있습니다. 이 상태에서 공격자는 'exec' 요청을 전송하여 RouterOS 관리 파일 네임스페이스 내에서 파일을 생성하거나 기존 파일을 덮어쓰는 등의 조작이 가능합니다. 특히 설정 정보 및 진단 데이터가 포함된 지원 파일(Support files)에 접근할 수 있어, 장치의 완전한 장악으로 이어질 수 있는 심각한 위협입니다. 현재 CISA KEV에 등재되어 실제 공격에 활발히 악용되고 있으므로 신속한 대응이 필요합니다.
공식 보안 권고문 및 참조 링크
RouterOS SSH enters the connection protocol after a client-requested rekey even though user authentication was never attempted, allowing an unauthenticated client to open a session channel and send an exec request. On affected builds the server dispatches the command, enabling unauthenticated creation, overwrite, and reconstruction of files in the RouterOS managed file namespace, including support files containing configuration and diagnostic data.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.