CISA has published ICS Advisory ICSA-26-272-06 covering CVE-2026-84411, a critical vulnerability in MikroTik RouterOS that carries a CVSS v3 score of 9.8 (Critical). The flaw is an integer underflow (wraparound) in the HTTP request body handling of the RouterOS web management service (WebFig/www), and — this is the part that should get your immediate attention — it is reachable before authentication. A successful exploit gives an unauthenticated network attacker remote code execution on the router itself, or the ability to crash the service and cause a denial of service.

Aktualizujte na 6.49.23 (legacy), 7.23.8 (longterm), nebo 7.24.5 (stable). 7.24 rada by uz mela mit ten problem fixnutej, jen ty prvni 2 jsou security bugfixy

Jo zdroj je tam, ale jak rikam ten klicovy koncept je mit dve tabulky a pravidla co je proti sobe pouzivaji.
Tak mas seznam hrisniku a aktualizuje se v casovem intervalu co chces.

MCKIDNEY: Jo, to mam taky, je to tusim z tohohle navodu nebo podobneho:
SSH Brute force Prevention - General - MikroTik community forum
https://forum.mikrotik.com/t/ssh-brute-force-prevention/151773

LEXXA: Není čistě náhodou přesně na tohle vhodnější Netflow?

aha! to by mohlo fungovat! Dekuji

Hmm, ja jsem to kdysi postavil na tomhle principu:
Ignoruj input chain, posilam protoze tohle dela hezke seznamy v realnem case.

# Stage 1: first attempt — tag for 1 minute
add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=!ssh_stage2 \
action=add-src-to-address-list \
address-list=ssh_stage1 \
address-list-timeout=1m \
comment="SSH stage1 — first attempt"

# Stage 2: second attempt within stage1 window — escalate for 1 hour
add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=ssh_stage1 \
action=add-src-to-address-list \
address-list=ssh_stage2 \
address-list-timeout=1h \
comment="SSH stage2 — repeated attempt"

# Drop anyone in stage2 (active brute-force)
add chain=input src-address-list=ssh_stage2 action=drop \
comment="drop SSH brute-force attackers"

MCKIDNEY: mne jde o to ze mam lan bridge, vim ze nekdo z LANu leze na nejakou znamou destinaci. potrebuji zjistit ktery z klientu v LANu tohle dela a v jakem case.

Jestli jsem to pochopil spravne - tak tohle bude trackovat pokus o spojeni a uz ne obsah.
Pokud je problem v chytani LAN traffic - tak si nejsem jist proc ten router pouziva forwarding pro switch traffic.
Tam by spis asi mohlo pomoct nastavit interface/subnet pravidlo.

MCKIDNEY: zkusim

LEXXA: connection-state=new ?

THEMRKOCOUR: Konkrétně tam jsou hliníkové elektrolytické a THT, takže i snadná výměna a dá se na to nahrát i OpenWrt. Dnes se dá koupit samotná deska včetně WLAN karty za 35 Kč.

V Jirous boxu věčnost. Mám hromady RB411 co byli už skoro 20 let venku a furt jedou. Odcházej jen kondíky

navic pokud je alespon v nejaky plastovy krabici tak se i v zime celkem self-temperuje a nevleze ti tam škodná jak bylo uvedeno...