MikroTik hat mit RouterOS 7.25.1 (sowie korrespondierend 7.24.6 für den Long-Term-Channel) ein wichtiges Wartungs- und Sicherheitsupdate veröffentlicht. Unter dem Changelog-Eintrag „system - improve stability (includes CVE-2026-98432)“ sowie in den offiziellen Sicherheitshinweisen unter https://mikrotik.com/supportsec informiert MikroTik über die Behebung der kritischen Schwachstelle CVE-2026-98432.

Ein zeitnahes Update auf RouterOS 7.25.1 wird allen Betreibern dringend empfohlen.

Technischer Hintergrund: Was steckt hinter CVE-2026-98432?

Da MikroTik RouterOS auf dem Linux-Kernel basiert, wirken sich Sicherheitslücken im zentralen Netzwerk-Stack des Kernels häufig auch unmittelbar auf RouterOS-Systeme aus. Bei CVE-2026-98432 (CVSS v3 Base Score: 9.8 – Kritisch, CWE-825) handelt es sich um eine schwerwiegende Use-After-Free (UAF)-Schwachstelle in der IPv4-TCP-Implementierung des Linux-Kernels.

Wie entsteht der Fehler im TCP-Handshake?

Die Ursache liegt in der Speicherverwaltung von IPv4-Optionen (inet_opt bzw. ireq_opt) während des TCP-Verbindungsaufbaus (3-Wege-Handshake):

  1. Direkte Übergabe ohne Kopie: Wenn ein TCP-Listener ein eingehendes Verbindungs-Setup verarbeitet (tcp_v4_syn_recv_sock()), wird der Zeiger auf die empfangenen IP-Optionen des Request-Sockets (ireq->ireq_opt) direkt an den neu erzeugten Child-Socket (newinet->inet_opt) übergeben, ohne die Speicherstruktur im RAM zu duplizieren.
  2. Race Condition bei SYN-Retransmits: Auf Mehrkern-Systemen kann zeitgleich ein weiterer CPU-Kern ein erneut übertragenes (retransmitted) SYN-Paket für denselben Request-Socket verarbeiten und über tcp_check_req() das Senden eines SYN-ACK-Pakets anstoßen – ohne dass dabei der Haupt-Lock des Listeners gehalten wird.
  3. Use-After-Free (Zugriff auf bereits freigegebenen Speicher): Wird der Child-Socket oder Request-Socket in diesem Zeitfenster abgebaut oder migriert, wurde der Speicherbereich für die IP-Optionen bisher unmittelbar mittels kfree() freigegeben, während ein anderer Thread (z. B. in ip_options_build() oder ip_build_and_send_pkt()) noch lesend darauf zugreift.

Welche Auswirkungen hat die Schwachstelle?

  • Remote Denial-of-Service (DoS): Durch gezieltes Ausnutzen der Race Condition über speziell getimte IPv4-TCP-Pakete mit IP-Optionen lässt sich aus der Ferne und ohne Authentifizierung eine Speicherbeschädigung im Kernel auslösen, die unmittelbar zu einer Kernel Panic und damit zum Absturz bzw. Neustart des Routers führt.
  • Potenzielle Remote Code Execution (RCE): Wie bei Use-After-Free-Schwachstellen im Kernel-Heap üblich, kann ein Angreifer bei erfolgreicher Manipulation des Speicherlayouts (Heap Feng Shui) im schlimmsten Fall auch beliebigen Code mit Kernel-Rechten zur Ausführung bringen.

Im Upstream-Kernel – und nun auch in RouterOS 7.25.1 – wurde das Problem behoben, indem die Speicherfreigabe von inet_opt und ireq_opt in inet_sock_destruct() und tcp_v4_reqsk_destructor() auf eine RCU-verzögerte Freigabe (kfree_rcu()) umgestellt wurde. Dadurch bleibt der Speicherbereich garantiert so lange gültig, bis alle parallelen Lesezugriffe im Netzwerk-Stack abgeschlossen sind.

Handlungsempfehlung für Administratoren

Da für das Ausnutzen von CVE-2026-98432 lediglich ein erreichbarer IPv4-TCP-Dienst auf dem Gerät benötigt wird, sollten insbesondere Router mit öffentlich erreichbaren Diensten (oder exponierten Management-Interfaces) schnellstmöglich aktualisiert werden:

  1. Update auf RouterOS 7.25.1 (Stable) bzw. 7.24.6 (Long-Term) einspielen:
    Über WinBox, WebFig oder auf der CLI via:
    1/system package update check-for-updates
2/system package update install
  2. Angriffsfläche auf TCP-Listener minimieren:
    Unabhängig vom Patch gilt wie immer die goldene Grundregel: Keine administrativen TCP-Dienste (WinBox, SSH, WebFig, API) ungeschützt im Internet exponieren. Nutzen Sie konsequent Firewall-Regeln in der input-Chain sowie address-Restriktionen unter /ip service oder greifen Sie ausschließlich über VPN (z. B. WireGuard) auf das Management zu.
  3. Sicherheitsmeldungen im Blick behalten:
    Aktuelle Sicherheitsbulletins und Informationen zu behobenen CVEs veröffentlicht MikroTik zentral auf der Security-Übersichtsseite unter https://mikrotik.com/supportsec.