CVE-2024-54772

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2024-54772
An issue was discovered in the Winbox service of MikroTik RouterOS long-term release v6.43.13 through v6.49.13 and stable v6.43 through v7.17.2. A patch is available in the stable release v6.49.18. A discrepancy in response size between connection attempts made with a valid username and those with an invalid username allows attackers to enumerate for valid accounts.

5.4 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 2.5

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact LOW

Integrity Impact LOW

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://github.com/deauther890/CVE-2024-54772 Third Party Advisory Exploit
Configurations

Configuration 1 (hide)

OR cpe:2.3:o:mikrotik:routeros:*:*:*:*:-:*:*:*
cpe:2.3:o:mikrotik:routeros:*:*:*:*:ltr:*:*:*
cpe:2.3:o:mikrotik:routeros:*:*:*:*:-:*:*:*
History

30 Jun 2025, 14:48

Type Values Removed Values Added
Summary (es) Se descubrió un problema en el servicio Winbox de MikroTik RouterOS v6.43 a v7.16.1. Una discrepancia en los tiempos de respuesta entre los intentos de conexión realizados con un nombre de usuario válido y aquellos con un nombre de usuario no válido permite a los atacantes realizar una enumeración de cuentas válidas. (es) Se descubrió un problema en el servicio Winbox de MikroTik RouterOS v6.43 a v7.16.1 versiones v6.43.13 hasta v6.49.13 y estables desde v6.43 hasta v7.17.2. Hay disponible un parche en la versión estable v6.49.18. Una discrepancia en el tamaño de respuesta entre los intentos de conexión realizados con un nombre de usuario válido y aquellos con un nombre de usuario no válido permite a los atacantes realizar una enumeración de cuentas válidas.
CPE cpe:2.3:o:mikrotik:routeros:*:*:*:*:ltr:*:*:*
cpe:2.3:o:mikrotik:routeros:*:*:*:*:-:*:*:*
First Time Mikrotik routeros
Mikrotik
References () https://github.com/deauther890/CVE-2024-54772 - () https://github.com/deauther890/CVE-2024-54772 - Third Party Advisory, Exploit

24 Feb 2025, 16:15

Type Values Removed Values Added
Summary
  • (es) Se descubrió un problema en el servicio Winbox de MikroTik RouterOS v6.43 a v7.16.1. Una discrepancia en los tiempos de respuesta entre los intentos de conexión realizados con un nombre de usuario válido y aquellos con un nombre de usuario no válido permite a los atacantes realizar una enumeración de cuentas válidas.
Summary (en) An issue was discovered in the Winbox service of MikroTik RouterOS v6.43 through v7.16.1. A discrepancy in response times between connection attempts made with a valid username and those with an invalid username allows attackers to enumerate for valid accounts. (en) An issue was discovered in the Winbox service of MikroTik RouterOS long-term release v6.43.13 through v6.49.13 and stable v6.43 through v7.17.2. A patch is available in the stable release v6.49.18. A discrepancy in response size between connection attempts made with a valid username and those with an invalid username allows attackers to enumerate for valid accounts.

12 Feb 2025, 22:15

Type Values Removed Values Added
CWE CWE-208
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 5.4

11 Feb 2025, 23:15

Type Values Removed Values Added
New CVE
Information

Published : 2025-02-11 23:15

Updated : 2025-06-30 14:48

NVD link : CVE-2024-54772

Mitre link : CVE-2024-54772

CVE.ORG link : CVE-2024-54772

JSON object : View

Products Affected

mikrotik

  • routeros
CWE
CWE-208

Observable Timing Discrepancy