Alvarlegir veikleikar í ASUS beinum
Tilkynnt hefur verið um nokkra alvarlega veikleika í beinum (e. router) frá ASUS [1,2]. Alvarlegustu veikleikarnir gefa ógnaraðilum færi á að taka yfir búnað (e. hijack devices). CERT-IS mælir með að uppfæra eins fljótt og auðið er. Ekki er vitað til þess að ógnaraðilar hafi nýtt sér þessa veikleika enn sem komið er. Vitað er að búnaður álíka þessum er vinsæll til árása af hendi ógnarhópa.
Alvarlegir veikleikar
CVE-2023-39239
Veikleikinn er með CVSSv3 einkunn 9.8 og felst í því að snið á streng er ekki staðfest með fullnægjandi hætti (e. Lack of proper verification of the input format string) í samskiptahætti (e. API) fyrir almennar stillingar (e. general setting function).
CVE-2023-39238 og CVE-2023-39240
Veikleikarnir eru báðir með CVSS v3 einkunn 9.8 og felast í því að snið á streng er ekki staðfest með fullnægjandi hætti (e. Lack of proper verification of the input format string) í samskiptahætti (e. API) fyrir iperf einingarnar (e. iperf-related module) ‘ser_iperf3_svr.cgi’ og ‘ser_iperf3_cli.cgi’.
Eftirfarandi kerfi eru veik fyrir gallanum
ASUS RT-AX55
Útgáfa 3.0.0.4.386_50460
ASUS RT-AX56U_V2
Útgáfa 3.0.0.4.386_50460
ASUS RT-AC86U
Útgáfa 3.0.0.4.386_51529
Veikleikinn hefur verið lagfærður í eftirfarandi útgáfum
ASUS RT-AX55
Útgáfa 3.0.0.4.386_51948 eða síðar
ASUS RT-AX56U_V2
Útgáfa 3.0.0.4.386_51948 eða síðar
ASUS RT-AC86U
Útgáfa 3.0.0.4.386_51915 eða síðar
Tilvísanir:
[1] https://www.bleepingcomputer.com/news/security/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/
[2] https://securityaffairs.com/150399/iot/asus-routers-critical-rces.html
