MikroTik RouterOS имеет уязвимость в обработке аутентификации API, из-за которой отсутствуют эффективные меры защиты от чрезмерных попыток входа в систему. Система не применяет значимого ограничения скорости, блокировки учетной записи или ограничений на основе источника, что позволяет повторяющимся сбоям аутентификации происходить без защитного ответа. В некоторых версиях присутствует фиксированная задержка для каждого соединения, но ее можно обойти с помощью параллельных сеансов, что приводит к продолжению попыток большого объема.
Этот недостаток увеличивает риск того, что злоумышленник в конечном итоге сможет получить действительные учетные данные и получить несанкционированный доступ к административным службам.
Показать оригинальное описание (EN)
MikroTik RouterOS contains a weakness in its API authentication handling that lacks effective safeguards against excessive login attempts. The system does not enforce meaningful rate-limiting, account lockout, or source-based restrictions, allowing repeated authentication failures to proceed without defensive response. In some versions, a fixed per-connection delay is present, but it can be bypassed through concurrent sessions, resulting in continued high-volume attempts. This deficiency increases the risk that an attacker could eventually obtain valid credentials and gain unauthorized access to administrative services.
Характеристики атаки
Последствия
Строка CVSS v4.0