[단독분석] 분석 — CVE-2026-16347

• 심각도 high · CVSS 8.8 · EPSS 0.00233 · 악용난이도 hard

• 인증 시도에 대한 rate‑limiting·계정 잠금·소스 제한이 부재한 상태에서 API 로그인을 반복 수행합니다.
• 일부 버전에서는 연결당 고정 지연이 존재하지만, 다중 동시 세션을 이용해 이를 우회할 수 있어 대량 시도가 지속됩니다.

악용 가능성: AV:A(인접 네트워크) 벡터에 따라 공격자는 라우터와 동일한 LAN이나 VPN 등 인접 네트워크에 위치해야 하지만, PR:N·UI:N·AC:L 조합으로 보면 권한도 필요 없고 사용자 상호작용 없이 복잡성도 낮아 실제 공격 절차는 매우 단순합니다.
이 취약점은 MikroTik RouterOS API(주로 TCP 8728/8729)에서 인증 시도에 대한 rate‑limiting이나 계정 잠금 메커니즘이 부재하므로, 인접 네트워크 내에서 다중 연결을 이용해 무차별 로그인 시도를 지속할 수 있습니다.
동시 세션을 통해 고정된 지연 시간을 우회할 수 있기 때문에, 공격자는 짧은 시간 안에 대량의 인증 요청을 전송하여 올바른 자격 증명을 추출할 가능성이 높습니다.
EPSS = 0.00233이라는 실측값은 현재 관찰된 악용 사례가 매우 드물다는 것을 의미하지만, 낮은 복잡도와 방어 부재로 인해 잠재적인 위협이 존재함을 시사합니다.
KEV 목록에 등재되지 않은 점은 아직 야생에서 널리 활용되는 익스플로잇이 보고되지 않았음을 나타내지만, 이는 공격 난이도가 낮아 향후 악용 가능성이 완전히 배제된 것은 아닙니다.
따라서 이 취약점의 공격 표면은 인접 네트워크에 노출된 API 엔드포인트와 인증 파라

• 기술적 위험: 성공적인 인증 우회 시 공격자는 RouterOS 관리 API에 무제한 접근 권한을 얻어 설정 변경·펌웨어 업데이트·네트워크 트래픽 가로채기 등 전체 시스템 장악이 가능함.
• 비즈니스 영향:
  • 서비스 중단 및 네트워크 가용성 저하 위험 → SLA 위반 가능성.
  • 관리 권한 탈취에 따른 규제·컴플라이언스 위반(예: 개인정보 보호법) 위험.
  • 장비 신뢰도 하락으로 고객·파트너 신뢰 손실.
• 영향 제품·노출 규모: 현재 MikroTik RouterOS 전 버전(구체적 버전 미상)에서 해당 취약점이 존재함을 확인했으며, API를 외부에 노출한 모든 라우터가 대상이 됩니다.

• 동일 제품의 API 인증 우회와 결합된 다른 CVE(예: 인증 우회를 통한 명령 실행)와 체인될 경우, 초기 로그인 성공 후 추가 원격 코드 실행으로 이어질 수 있습니다. (구체적 CVE 번호는 확인되지 않음)

• 로그 패턴: 짧은 시간 내 다수의 api-login-failed 혹은 authentication failed 이벤트가 동일 소스 IP 또는 다양한 동시 연결에서 발생.
• 네트워크 트래픽: API 포트(일반적으로 8728/8729)로 향하는 비정상적인 고빈도 TCP SYN 패킷 및 짧은 세션 지속시간.

• 즉시 조치
  • 방화벽·ACL을 이용해 신뢰된 관리 IP만 API 포트에 접근하도록 제한합니다.
  • 로그인 시도 횟수를 모니터링하고, 일정 임계치를 초과하면 해당 소스 IP를 차단합니다.
• 근본 해결
  • MikroTik에서 제공하는 최신 펌웨어·보안 패치가 발표될 경우 즉시 적용합니다.
  • 가능하면 API 서비스를 비활성화하거나, 강력한 인증(예: TLS‑wrapped API + 다중 요소 인증)으로 전환합니다.
• 추가 권고
  • 관리자 계정에 복잡하고 고유한 패스워드를 설정하고, 정기적으로 교체합니다.
  • 로그인 시도 로그를 SIEM에 연동해 실시간 알림을 구성합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00233 · exploit=hard · in_scope=None