Az Asus két súlyos biztonsági hibát javított a routerei firmware-ében. Az egyik egy hamisított VPN (Virtual Private Network, virtuális magánhálózat) kliens-konfigurációs fájlon keresztül teszi lehetővé tetszőleges parancsok futtatását, a másik a Telnet szolgáltatás bekapcsolását engedi a biztonsági ellenőrzések megkerülésével. Az Asus router frissítés azoknak a legsürgősebb, akik VPN-beállítást importálnak a routerbe, de az érintett firmware-sorozatok miatt minden Asus-tulajdonosnak érdemes megnézni, melyik verzió fut az eszközén.
Mit tesz lehetővé a két hiba
Az Asus routerek VPN-kliensként is működhetnek, ha a VPN-szolgáltatótól kapott konfigurációs fájlt feltöltjük a webes kezelőfelületen. A gond akkor kezdődik, ha a fájlba csempészett szöveg a routerben nem egyszerű adatként, hanem formázási utasításként értelmeződik. Ilyenkor egy hamisított fájllal, amelyet maga a felhasználó vagy egy bejelentkezett támadó tölt fel, tetszőleges parancs futtatható a routeren. Az Asus ezt a hibát kritikusnak minősítette.
A második hiba egy bekapcsolva hagyott hibakereső kódban van. Ezzel a támadó megkerülheti a biztonsági ellenőrzéseket, bekapcsolhatja a Telnet szolgáltatást, majd rendszergazdai (root) jogosultsággal futtathat parancsokat, ami a routerre csatlakozó eszközöket is érintheti.
A két hiba azonosítója CVE-2026-14157 és CVE-2026-13313 (CVE: Common Vulnerabilities and Exposures, a nyilvános sebezhetőségek azonosító rendszere). Súlyosságuk a CVSS (Common Vulnerability Scoring System, sebezhetőségi pontozási rendszer) 4.0-s skáláján tízből 9,4, illetve 8,9 pont.
Mely Asus routerek érintettek
Az Asus nem típusokat, hanem firmware-sorozatokat nevezett meg:
- a 3.0.0.6_102 sorozatot mindkét hiba érinti;
- a 3.0.0.4_386 és a 3.0.0.4_388 sorozatot a Telnet-hiba érinti.
A VPN-hiba csak azokat fenyegeti, akik magába a routerbe importálnak VPN-konfigurációs fájlt. A laptopon vagy telefonon futó VPN-alkalmazásokra nem vonatkozik.
A hibának előzménye is van. Ugyanezt a belépési pontot használta a VulnCheck által 2024-ben nyilvánosságra hozott CVE-2024-0401 is, egy hamisított OVPN-profillal. Az AyySSHush nevű támadássorozat pedig többek között a CVE-2023-39780 jelű hibával több mint 9000 routerre telepített hátsó ajtót, amely még a firmware-frissítéseket is túlélte.
Az Asus router frissítés lépései
Az új firmware két súlyos hibát javít, ezért a frissítés az első teendő.
- Csatlakozzunk a routerhez kábellel vagy WiFi-n, és nyissuk meg a kezelőfelületet a router helyi IP-címén vagy a www.asusrouter.com címen.
- Angol nyelvű felületen az Administration menüben válasszuk a Firmware Upgrade fület, és nézzük meg, elérhető-e újabb verzió.
- Ha a router nem kínál frissítést, a firmware az Asus támogatási oldaláról vagy a termék saját oldaláról is letölthető, majd a Firmware Upgrade fülön kézzel feltölthető.
- A frissítés alatt ne kapcsoljuk ki a routert.
Ahol a típus támogatja, ugyanitt bekapcsolható az automatikus frissítés is, érdemes olyan időpontra állítani, amikor a hálózat nincs használatban.
Mire figyeljünk a frissítésen túl
Az Asus javaslatai:
- VPN-konfigurációs fájlt csak megbízható forrásból importáljunk;
- a router adminisztrátori jelszava legyen erős és egyedi, legalább 10 karakteres, kis- és nagybetűkkel, számokkal és szimbólumokkal;
- a helyi hálózat egyik eszközén se futtassunk megbízhatatlan forrásból származó szkriptet, eszközt vagy parancsot, mert a támadók megtévesztéssel is rávehetik erre a rendszergazdákat.
A támogatási idejük végére ért routerek már nem kapnak új firmware-t. Ezeknél az Asus erős, egyedi belépési és WiFi-jelszót javasol. Ha egy irodai router már nem kap frissítést, a cseréjét egy irodai WiFi-hálózat kiépítése keretében érdemes megtervezni.
A javításokkal együtt az Asus 13 alaplapjához is érkezett frissítés. Az érintett Z390 és C246 lapkakészletű alaplapoknál egy speciális eszköz csatlakoztatásával a rendszermemória olvasható és írható, ehhez azonban fizikai hozzáférés kell, súlyossága tízből 7,0. A javítás a WS Z390 Pro alaplapon az 1502-es, a másik 12 alaplapon a 2203-as BIOS (Basic Input/Output System, alapszintű bemeneti-kimeneti rendszer). Céges gépeknél a rendszergazdai felügyelet része az ilyen frissítések követése.
Kép: CAT5 Cable, szerző: nrkbeta, licenc: CC BY-SA 2.0, forrás: Flickr
Forrás: Malicious VPN config files can let attackers run commands on Asus routers (Tom's Hardware)
- asus router
- firmware frissítés
- router biztonság
- vpn