Исследователи получили полный доступ к радиомосту Ubiquiti airMAX почти с двух километров
Исследователи получили полный доступ к радиомосту Ubiquiti airMAX почти с двух километров На конференциях Black Hat USA 2026 и DEF CON 34 исследователи раскрыли две уязвимости радиомостов Ubiquiti - CVE-2026-21639 и CVE-2026-21638. Для атаки не нужны доступ в локальную сеть, учётная запись или действия оператора: достаточно, чтобы сигнал нарушителя дошёл до приёмника уязвимого устройства. На полевых проверках это сработало с расстояний 1,50 и 1,72 км. Километровая дальность не гарантирована - она зависит от диапазона, антенн, помех, рельефа и зоны Френеля; обычно нужна прямая радиовидимость. airMAX передаёт служебные данные в полях кадров 802.11, которые разбирает модуль ядра до обычной проверки полномочий. Поэтому сложный пароль, скрытое имя сети, запрет сетевого управления и сквозное шифрование обмена не закрывают саму уязвимость. Подвержены не отдельные «тарелки» - уязвимы целые семейства: ⚙️ airMAX AC 8.7.20 и ниже - в том числе NanoStation 5AC, LiteBeam 5AC Gen2, NanoBeam 5AC, PowerBeam 5AC и Rocket Prism 5AC; исправлено в 8.7.21 и новее ⚙️ airMAX M 6.3.22 и ниже - LiteBeam M5, NanoStation и loco M2/M5, NanoBeam M5, PowerBeam M5, Rocket M2/M5; исправлено в 6.3.24 и новее ⚙️ официально указаны airFiber AF60-XG до 1.2.2 и AF60 до 2.6.7; исправления вышли в общих ветках AF60-HD/XG 1.2.3 и AF60/AF60-LR 2.6.8 ⚙️ UBB-XG до 1.2.2 - ставить 1.2.3 или новее; UDB-Pro/UDB-Pro-Sector до 1.4.1 - 1.4.2 или новее; UBB до 3.1.5 - 3.1.7 или новее Пассивная секторная антенна сама по себе неуязвима - проверять нужно подключённый к ней радиоблок Rocket/Prism. MikroTik, LigoWave и Keenetic эти две уязвимости не затрагивают. Исследователи показали выполнение кода с правами ядра, смену учётных данных и ключа радиосети, добавление нового пользователя, получение прежнего ключа и сохранение доступа через настройки. Дальше нарушитель может оборвать или перенастроить пролёт, читать и изменять незашифрованный обмен и использовать радиоблок как вход в проводную сеть. Захват одного моста не означает автоматический захват всей сети. Но схема «все позиции в одной локальной сети» превращает его в общий вход к узлам видеотрансляции, телефонии и управления. Чем больше направлений сходится на одной высоте, тем выше цена одного уязвимого радиоблока. Что делать связистам: Переписать точные модели и версии всех устройств, включая запасные. Поставить последнюю официальную прошивку для своей модели; указанные выше версии - лишь минимальные исправленные. Сначала проверить обновление на резервной паре, затем обновить оба конца рабочего моста. Если обнаружены новый пользователь, неожиданно включившийся режим первоначальной настройки, смена ключа или необъяснимые перезапуски - перейти на резерв, отсоединить радиоблок от проводной сети, начисто перепрошить и сбросить настройки. Затем сменить все хранившиеся на нём ключи и пароли; сомнительную копию настроек не возвращать. Считать радиомост недоверенной внешней линией. Каждый объект отделить собственным маршрутизатором; управление вынести в отдельный сегмент, а ограничения держать на отдельном устройстве, не на Ubiquiti. Между маршрутизаторами за мостом поднять сквозной зашифрованный туннель, ключи которого не хранятся на Ubiquiti. Он не спасёт от обрыва, но не даст захваченному радиоблоку читать или незаметно менять содержимое. Держать готовую обновлённую резервную пару и второй путь связи. Узкий луч и прикрытие рельефом лишь уменьшают сектор возможного воздействия - саму ошибку устраняет только обновление. Если исправленная прошивка для модели недоступна, устройство нужно заменить. Полезная Нагрузка