Asus已經推出了一個韌體更新,影響了許多路由器型號,並敦促客戶立即應用更新,或限制WAS訪問直至更新完成。在一份聲明中,該公司指出:“如果您選擇不安裝此新的韌體版本,我們強烈建議禁用從WAN側可訪問的服務,以避免潛在的非法入侵”,這包括從WAN進行的遠程訪問,端口轉發,DDNS,VPN服務器,DMZ,端口觸發等。
此次韌體更新解決了至少九個CVE,包括三個來自 2023 年,五個來自 2022 年,還有一個可追溯到 2018 年的漏洞。另外,還修復了許多其他漏洞和問題。
受影響的路由器型號包括:GT6,GT-AXE16000,GT-AX11000 PRO,GT-AXE11000,GT-AX6000,GT-AX11000,GS-AX5400,GS-AX3000,XT9,XT8,XT8 V2,RT-AX86U PRO,RT-AX86U,RT-AX86S,RT-AX82U,RT-AX58U,RT-AX3000,TUF-AX6000和 TUF-AX5400。
最嚴重的漏洞是最老的漏洞之一,包括2018年的漏洞,可以利用該漏洞進行任意代碼執行,以及 CVE-2022-26376,可以看到未經授權的第三方執行內存損壞攻擊。根據 NIST 的國家漏洞數據庫,這兩個漏洞都獲得了 “危急” 的 9.8 分。
這次韌體更新正好是該公司披露其某些路由器配置文件存在錯誤的一個月之後,這導致用戶的連接中斷。自動發佈了修復程序,受影響的用戶無需應用安全更新(盡管一些報告需要重新啟動設備)。
最好的建議是保持對與互聯網相連的任何設備的安全修補程序的關注,以防止攻擊者獲得非法訪問。Asus 的韌體更新可在其支持頁面上獲得。像其他路由器製造商一樣,這家台灣公司強調設置無線網絡和路由器管理面板的獨立密碼的重要性。