Vulnerability in MikroTik RouterOS API Allows Authentication Bypass via Brute-Force
MikroTik has identified a security flaw in its RouterOS and Cloud Hosted Router systems that fails to properly block multiple failed login attempts. This could allow an attacker to repeatedly guess passwords until they gain unauthorized access to the device.
English Brief
MikroTik has identified a security flaw in its RouterOS and Cloud Hosted Router systems that fails to properly block multiple failed login attempts. This could allow an attacker to repeatedly guess passwords until they gain unauthorized access to the device.
الموجز العربي
ثغرة في واجهة برمجة تطبيقات MikroTik RouterOS تسمح بتجاوز المصادقة عبر هجمات القوة الغاشمة
حددت شركة MikroTik ثغرة أمنية في أنظمة RouterOS وCloud Hosted Router التابعة لها، حيث تفشل هذه الأنظمة في حظر محاولات تسجيل الدخول الفاشلة بشكل كافٍ. قد يسمح هذا للمهاجم بتخمين كلمات المرور بشكل متكرر حتى يتمكن من الوصول غير المصرح به إلى الجهاز.
- 1Restrict API access to trusted networks only:
- 2Configure password complexity (Ensure strong, long random passwords are set):
- 3Monitor for unusual authentication attempts via logs
English Advisory
// Intelligence Summary
A vulnerability, identified as CVE-2026-16347, exists in MikroTik RouterOS and Cloud Hosted Router due to improper restriction of excessive authentication attempts. The API service lacks robust rate-limiting and account lockout mechanisms, enabling attackers to conduct high-volume credential guessing attacks to gain administrative access.
التقرير العربي
// ملخص استخباراتي
توجد ثغرة أمنية، تم تعريفها كـ CVE-2026-16347، في نظامي MikroTik RouterOS وCloud Hosted Router بسبب عدم التقييد المناسب لمحاولات المصادقة المفرطة. تفتقر خدمة واجهة برمجة التطبيقات (API) إلى آليات قوية لتحديد معدل الطلبات أو قفل الحسابات، مما يتيح للمهاجمين تنفيذ هجمات تخمين بيانات اعتماد واسعة النطاق للوصول إلى صلاحيات الإدارة.
// Technical Context
The flaw stems from the API's failure to enforce effective safeguards against brute-force attacks. While some versions implement a fixed per-connection delay, this can be circumvented via concurrent sessions. The vulnerability is categorized under CWE-307: Improper Restriction of Excessive Authentication Attempts, with a CVSS v3.1 score of 8.8.
// السياق الفني
ينبع الخلل من فشل واجهة برمجة التطبيقات في فرض إجراءات حماية فعالة ضد هجمات القوة الغاشمة. وعلى الرغم من أن بعض الإصدارات تنفذ تأخيراً ثابتاً لكل اتصال، إلا أنه يمكن تجاوز ذلك عبر جلسات متزامنة. تم تصنيف الثغرة ضمن CWE-307: التقييد غير المناسب لمحاولات المصادقة المفرطة، مع درجة CVSS v3.1 تبلغ 8.8.
// Exposure Notes
All versions of MikroTik RouterOS and Cloud Hosted Router are currently affected. The attack vector is localized (AV:A), meaning an attacker must have access to the local network segment or a reachable interface to exploit the API service. No active exploitation has been reported to CISA at this time.
// ملاحظات التعرض
جميع إصدارات MikroTik RouterOS وCloud Hosted Router متأثرة حالياً. ناقل الهجوم محلي (AV:A)، مما يعني أن المهاجم يجب أن يتمتع بإمكانية الوصول إلى شريحة الشبكة المحلية أو واجهة يمكن الوصول إليها لاستغلال خدمة API. لم يتم الإبلاغ عن أي استغلال نشط لهذه الثغرة إلى وكالة CISA حتى الآن.
// Defensive Priority
Organizations should immediately restrict access to management interfaces, including the API, from untrusted networks. Implementation of firewall rules to limit connection sources and the use of strong, unique, and long passwords are required to mitigate the risk until an official firmware patch is released by the vendor.
// أولوية الدفاع
يجب على المؤسسات تقييد الوصول فوراً إلى واجهات الإدارة، بما في ذلك API، من الشبكات غير الموثوقة. يعد تنفيذ قواعد جدار الحماية للحد من مصادر الاتصال واستخدام كلمات مرور قوية وفريدة وطويلة أمراً ضرورياً لتخفيف المخاطر حتى يتم إصدار تصحيح رسمي من قبل الشركة المصنعة.
Mitigation Checklist
- 1Restrict API access to trusted networks only:
- 2Configure password complexity (Ensure strong, long random passwords are set):
- 3Monitor for unusual authentication attempts via logs
قائمة إجراءات التخفيف
- 1تقييد الوصول إلى API للشبكات الموثوقة فقط:
- 2تكوين تعقيد كلمة المرور (تأكد من تعيين كلمات مرور قوية وطويلة وعشوائية):
- 3مراقبة محاولات المصادقة غير العادية عبر السجلات
- Source: CISA Alerts
# MikroTik RouterOS Mitigation Checklist
# 1. Restrict API access to trusted networks only:
/ip firewall filter add chain=input protocol=tcp dst-port=8728,8729 src-address=<TRUSTED_IP_RANGE> action=accept comment="Allow Trusted API"
/ip firewall filter add chain=input protocol=tcp dst-port=8728,8729 action=drop comment="Block Public API"
# 2. Configure password complexity (Ensure strong, long random passwords are set):
/user set [find] password="<STRONG_RANDOM_PASSWORD>"
# 3. Monitor for unusual authentication attempts via logs
/system logging add topics=system,account action=memory