მავნე VPN-ის ფაილები Asus-ის როუტერებზე ბრძანებების გაშვებას იძლევა

Asus-ი მომხმარებლებს ურჩევს: „VPN-კლიენტის კონფიგურაციის ფაილები მხოლოდ სანდო წყაროებიდან შემოიტანეთ“. ორ ხარვეზს, CVE-2026-14157-სა და CVE-2026-13313-ს, საერთო მოწყვლადობების შეფასების სისტემის (CVSS) 4.0 სკალაზე 10-დან 9,4 და 8,9 ქულა მიენიჭა. ეს სკალა მოწყვლადობის სიმძიმეს ზომავს. Asus-ი მოდელების ნაცვლად ჩაშენებული პროგრამული უზრუნველყოფის სერიებს ასახელებს. ორივე ხარვეზი 3.0.0.6_102 სერიას ეხება, ხოლო Telnet-ის ხარვეზი ასევე 3.0.0.4_386 და 3.0.0.4_388 სერიებზე მოქმედებს.

როუტერს VPN-კლიენტის ფუნქციის შესრულება შეუძლია, თუ მას VPN-მომწოდებლის კონფიგურაციის ფაილით გამართავენ. პრობლემა მაშინ ჩნდება, როცა ატვირთულ ფაილებში საგანგებოდ შექმნილი ტექსტი უბრალო მონაცემების ნაცვლად ფორმატირების ინსტრუქციებად იკითხება. VPN-ს ხშირად ფილტრების გვერდის ავლისა და სხვაგვარად მიუწვდომელ მასალაზე წვდომისთვის იყენებენ. თუმცა ეს რისკი იმ მფლობელებს ეხება, რომლებიც VPN-ის კონფიგურაციის ფაილებს უშუალოდ როუტერში ტვირთავენ. რისკი ლეპტოპის ან ტელეფონის VPN-აპლიკაციებს არ ეხება.

Telnet-ის დამოუკიდებელი ხარვეზის გამოსაყენებლად თავდაპირველად ამ სერვისის ჩართვაა საჭირო. ამის შემდეგ შესაძლებელია ბრძანებების გაშვება, რომლებმაც ქსელზე შეიძლება იმოქმედოს. Asus-ი ჩაშენებული პროგრამული უზრუნველყოფის განახლებასთან ერთად ძლიერ და უნიკალურ ადმინისტრატორის პაროლს ურჩევს. კომპანიამ პაროლის მოთხოვნა ასე ჩამოაყალიბა: „სულ მცირე 10 სიმბოლო, დიდი ასოების, ციფრებისა და სპეციალური ნიშნების ნაზავით“. რისკის დროებით შესამცირებლად Asus-ი მომხმარებლებს ურჩევს, ადგილობრივ ქსელში არსებულ არცერთ მოწყობილობაზე არასანდო წყაროებიდან მიღებული „სკრიპტები, ხელსაწყოები ან ბრძანებები“ არ გაუშვან. კომპანიის თქმით, ერთ-ერთი რისკი ისაა, რომ თავდამსხმელებმა ადმინისტრატორების მოსატყუებლად სოციალური ინჟინერია შეიძლება გამოიყენონ.

VPN-ის ხარვეზი იმავე შესასვლელ წერტილს იყენებს, რომელსაც VulnCheck-ის მიერ 2024 წელს გასაჯაროებული CVE-2024-0401 იყენებდა. ეს ხარვეზი საგანგებოდ შექმნილ OVPN-პროფილს ეყრდნობოდა. შესაბამისად, Asus-ის ვებადმინისტრირების გვერდიდან კონფიგურაციის ფაილის შეტანა კვლავ სუსტი წერტილი აღმოჩნდა. Asus-ი, როგორც პოპულარული ბრენდი, ასევე სავარაუდო სამიზნეა. AyySSHush-ის კამპანია ავთენტიფიკაციის გვერდის ავლას, პაროლების ინტენსიურ გამოცნობასა და ბრძანების ჩასმის ხარვეზს, CVE-2023-39780-ს, იყენებდა. Tom's Hardware-ის იმდროინდელი ცნობით, კამპანიამ 9 000-ზე მეტ როუტერში ფარული წვდომის მექანიზმი ჩააყენა. ეს მექანიზმი ჩაშენებული პროგრამული უზრუნველყოფის განახლების შემდეგაც კი ნარჩუნდებოდა.

როუტერების ორი ხარვეზის განახლებებთან ერთად Asus-მა 13 დედაპლატის გამოსწორებაც გამოუშვა. ამ ხარვეზის მეშვეობით „ფიზიკურად ახლოს მყოფ თავდამსხმელს“ სპეციალურად შექმნილი მოწყობილობის შეერთებით „სისტემური მეხსიერებიდან ნებისმიერი მონაცემის წაკითხვა ან მასში ჩაწერა“ შეეძლო. ხარვეზი Asus-ის ბევრ Z390 და C246 დედაპლატას ეხება. მისი სიმძიმე 10-დან 7,0 ქულით შეფასდა, რაც როუტერების ხარვეზებზე დაბალია, თუმცა მაღალ დონედ მიიჩნევა. მის გამოსაყენებლად ფიზიკური წვდომაც აუცილებელია.