华硕紧急修复多个严重的路由器漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

华硕发布安全更新，修复了位于多款路由器机型中的多个漏洞，提醒客户立即更新，或者在更新前限制WAN访问权限。

华硕解释称，新发布的固件中包含对9个安全缺陷的修复方案，其中包括高危和严重漏洞。最严重的漏洞是CVE-2022-26376和CVE-2018-1160。第一个漏洞CVE-2022-26376是位于适用于华硕路由器 Asuswrt 固件中的内存损坏弱电，可导致攻击者触发拒绝服务状态或者获得代码执行权限。CVE-201801160已存在近五年的时间，是由界外写 Netatalk 弱点引发的，可被用于在未修复设备上执行任意代码。

华硕在今天发布的安全公告中指出，“请注意，如果选择不安装该固件更新，则我们强烈建议禁用可从 WAN 访问的服务，避免潜在的不必要的入侵情况。这些服务包括从 WAN 的远程访问、端口转发、DDNS、VPN服务器、DMZ、端口触发。我们强烈建议您定期审计设备和安全程序，以保证是受保护状态。”

受影响的设备包括如下机型：GT6、GT-AXE16000、GT-AX11000 PRO、GT-AX6000、GT-AX11000、GS-AX5400、GS-AX3000、XT9、XT8、XT8 V2、RT-AX86U PRO、RT-AX86U、RT-AX86S、RT-AX82U、RT-AX58U、RT-AX3000、TUF-AX6000以及TUF-AX5400。

督促用户立即修复

华硕提醒受影响客户通过支持网站、每款产品的页面或今天所发安全公告中提供的链接，尽快将路由器更新至最新固件版本。

华硕还建议为无线网络和路由器管理页面创建由最少8个字符组成的密码（由大写字母、数字和符号组成），并避免在多台设备或服务中使用同样的密码。该支持网站还提供了关于将固件更新至最新版本的详细信息以及路由器安全措施。

由于华硕的产品此前遭僵尸网络攻击，因此应当重视华硕的提醒信息。例如，2022年3月，华硕提醒称 Cyclops Blink 恶意软件攻击多款华硕路由器模型以获得持久性并将其用于远程访问受陷网络。就在一个月前，2022年2月，美国和英国网络安全机构发布安全公告称，Cyclops Blink 僵尸网络和俄罗斯军队 Sandworm 威胁组织有关。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

奇安信入选全球《静态应用安全测试全景图》代表厂商

奇安信入选全球《软件成分分析全景图》代表厂商

华硕修复可禁用安全启动程序的UEFI漏洞

华硕：警惕 Cyclops Blink 恶意软件正在攻击路由器

华硕承认 Live Update Utility 已遭 APT 组织利用，发布补丁

知情不报|华硕 Live Update 被曝后门，超百万用户遭供应链攻击

华硕和技嘉驱动被曝多个 0day 代码执行漏洞拒修复，PoC 已发布

原文链接

https://www.bleepingcomputer.com/news/security/asus-urges-customers-to-patch-critical-router-vulnerabilities/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~