Как ASUS разочаровала своих поклонников: три недопустимых ошибки в безопасности роутеров

Три критические уязвимости удаленного выполнения кода обнаружены в популярных моделях маршрутизаторов ASUS: RT-AX55, RT-AX56U_V2 и RT-AC86U. Дефекты позволят потенциальным злоумышленникам получить полный контроль над устройствами, если пользователь не установит последние обновления.

Эти модели очень популярны на технологическом рынке и считаются одними из лучших. Их часто выбирают геймеры и клиенты с высокими требованиями к производительности.

Выявленные уязвимости имеют высокий рейтинг опасности — 9.8 из 10 по шкале CVSS версии 3.1. Недочеты связаны со строкой форматирования. Аутентификация для того, чтобы их эксплуатировать – не требуется. Подобные проблемы возникают, если система не проверяет или не фильтрует вводные данные перед тем, как использовать их в программировании.

Атакующие применяют специально сформированный ввод, направленный на незащищенные системы. Именно в маршрутизаторах ASUS под угрозу попадают определенные функции административного API.

Дефекты, обнаруженные тайваньской компанией CERT:

• CVE-2023-39238: ненадлежащая проверка строки форматирования на API-модуле, связанном с iperf, 'ser_iperf3_svr.cgi'.
• CVE-2023-39239 : ненадлежащая проверка строки форматирования в API общих настроек.
• CVE-2023-39240: ненадлежащая проверка строки форматирования на другом API-модуле, связанном с iperf, 'ser_iperf3_cli.cgi'.

Рекомендация экспертов — как можно скорее установить следующие обновления прошивки или их более поздние версии:

• RT-AX55: 3.0.0.4.386_51948
• RT-AX56U_V2: 3.0.0.4.386_51948
• RT-AC86U: 3.0.0.4.386_51915

ASUS выпустила патч, который устраняет все три проблемы, в начале августа 2023 года для RT-AX55, в мае для AX56U_V2 и в июле - для RT-AC86U.

Кроме того, поскольку многие уязвимости в потребительских роутерах нацелены на управляющую веб-консоль, пользователям настоятельно рекомендуют отключить функцию удаленного администрирования (WAN Web Access), чтобы предотвратить несанкционированный доступ из интернета.