Alvarlegir veikleikar í ASUS beinum

Alvarlegir veikleikar í ASUS beinum

Tilkynnt hefur verið um nokkra alvarlega veikleika í beinum (e. router) frá ASUS [1,2]. Alvarlegustu veikleikarnir gefa ógnaraðilum færi á að taka yfir búnað (e. hijack devices). CERT-IS mælir með að uppfæra eins fljótt og auðið er. Ekki er vitað til þess að ógnaraðilar hafi nýtt sér þessa veikleika enn sem komið er. Vitað er að búnaður álíka þessum er vinsæll til árása af hendi ógnarhópa.

Alvarlegir veikleikar
 

CVE-2023-39239

Veikleikinn er með CVSSv3 einkunn 9.8 og felst í því að snið á streng er ekki staðfest með fullnægjandi hætti (e. Lack of proper verification of the input format string) í samskiptahætti (e. API) fyrir almennar stillingar (e. general setting function).
 

CVE-2023-39238 og CVE-2023-39240

Veikleikarnir eru báðir með CVSS v3 einkunn 9.8 og felast í því að snið á streng er ekki staðfest með fullnægjandi hætti (e. Lack of proper verification of the input format string) í samskiptahætti (e. API) fyrir iperf einingarnar (e. iperf-related module) 'ser_iperf3_svr.cgi' og 'ser_iperf3_cli.cgi'.
 

Eftirfarandi kerfi eru veik fyrir gallanum
 

ASUS RT-AX55

Útgáfa 3.0.0.4.386_50460

ASUS RT-AX56U_V2

Útgáfa 3.0.0.4.386_50460

ASUS RT-AC86U

Útgáfa 3.0.0.4.386_51529
 

Veikleikinn hefur verið lagfærður í eftirfarandi útgáfum
 

ASUS RT-AX55

Útgáfa 3.0.0.4.386_51948 eða síðar

ASUS RT-AX56U_V2

Útgáfa 3.0.0.4.386_51948 eða síðar

ASUS RT-AC86U

Útgáfa 3.0.0.4.386_51915 eða síðar
 

Tilvísanir:

[1] https://www.bleepingcomputer.com/news/security/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/
[2] https://securityaffairs.com/150399/iot/asus-routers-critical-rces.html