В маршрутизаторах ASUS обнаружена уязвимость, позволяющая выполнение произвольных команд

Эксперт из Accuvant Labs Джошуа Дрейк (Joshua Drake)  обнаружил  уязвимость в маршрутизаторах ASUS, позволяющую злоумышленникам, имеющим доступ к локальной сети, выполнять произвольные команды. По словам Дрейка, брешь CVE-2014-9583 присутствует в сервисе обнаружения локальной сети infosvr, работающем с правами суперпользователя.

Сервис «слушает» порт 9999, который может использоваться злоумышленниками для отправки пакетов, содержащих вредоносный код, с целью получить контроль над устройством. Дрейк успешно осуществил атаки на маршрутизатор ASUS RT-N66U с версией прошивки 3.0.0.376.2524-g0013f52. ИБ-эксперт Дэвид Лонгенекер (David Longenecker)  подтвердил  наличие уязвимости и в наиболее новой модели RT-AC87U с версией прошивки 3.0.0.4.378_3754.

Лонгенекер сообщил, что размер эксплоита для этой бреши не должен превышать 237 знаков, иначе устройство может выйти из строя из-за переполнения буфера. ASUS известно об уязвимости, и компания работает над ее исправлением. Отметим, что эксплоит доступен публично, поэтому пользователи должны принять меры по обеспечению безопасности.

Кастомизированная версия прошивки Asuswrt-Merlin, разработанная Эриком Соважо (Eric Sauvageau), смягчает потенциальные атаки путем отключения функции, ответственной за удаленное выполнение кода. 

Подробнее ознакомиться с описанием уязвимости можно по адресу:  http://www.securitylab.ru/vulnerability/469610.php