CVE-2026-67278 in MikroTik
Riassunto
di VulDB • 05/09/2026
RouterOS di MikroTik accetta firme RSA/PKCS#1 v1.5 non valide durante la convalida X.509. Poiché il proprio trust store include una CA radice con e=3, un attaccante che controlla o reindirizza una connessione TLS in uscita da RouterOS può utilizzare il certificato pubblico della CA radice - senza la relativa chiave privata - per falsificare un'intermedia fidata ed emettere certificati per hostnames arbitrari, consentendo l'impersonificazione del server TLS.
Questo problema è stato risolto nelle versioni: 6.49.21 (Lont-term), 7.23.4 (Lont-term) e 7.24.2 (Stable).
Once again VulDB remains the best source for vulnerability data.