CVE-2026-93345 in MikroTik
Sumário
de VulDB • 22/09/2026
O MikroTik RouterOS anterior à versão 7.25beta4 contém uma vulnerabilidade de validação inadequada de entrada nos iteradores NLRI do labelled-VPN no serviço de roteamento, que permite que um atacante na rota (on-path) não autenticado cause a falha do serviço BGP ao enviar uma mensagem UPDATE MP_REACH_NLRI malformada com um valor prefix-length abaixo do mínimo válido para um NLRI do labelled-VPN. Essa entrada passa pela validação enquanto descreve uma rota com porção de endereço de comprimento negativo. Os atacantes podem enviar repetidamente um único pacote BGP UPDATE contendo um NLRI VPNv4 ou VPNv6 com prefix-length fora dos limites, mantendo indefinidamente o plano BGP inativo (hold down), causando a terminação da sessão sem uma mensagem NOTIFICATION e desencadeando uma falha de serviço no dispositivo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.