ASUS, uzaktan saldırganların cihazlarda oturum açmasına izin veren ve yedi farklı yönlendirici modelini etkileyen bir açık tespit etti. Tayvanlı firma güvenlik açığını gideren yeni bir ürün yazılımı güncellemesi yayınladı.
CVE-2024-3080 (CVSS v3.1 puanı: 9.8 “kritik”) olarak izlenen açık, kimliği doğrulanmamış, uzaktan saldırganların cihazın kontrolünü ele geçirmesine olanak tanıyan bir kimlik doğrulama atlama açığı. ASUS, sorunun şu modelleri etkilediğini açıkladı:
- XT8 (ZenWiFi AX XT8) – 6600 Mbps’ye varan hızlarda üç bantlı kapsama alanı, AiMesh desteği, AiProtection Pro, kesintisiz dolaşım ve ebeveyn kontrolleri sunan Mesh WiFi 6 sistemi.
- XT8_V2 (ZenWiFi AX XT8 V2) – XT8’in performans ve kararlılıktaki geliştirmelerle benzer özellikleri koruyan güncellenmiş sürümü.
- RT-AX88U – 6000 Mbps’ye kadar hızlara sahip, 8 LAN bağlantı noktası, AiProtection Pro ve oyun ve akış için uyarlanabilir QoS içeren çift bantlı WiFi 6 yönlendirici.
- RT-AX58U – AiMesh desteği, AiProtection Pro ve verimli çoklu cihaz bağlantısı için MU-MIMO ile 3000 Mbps’ye kadar hız sağlayan çift bantlı WiFi 6 yönlendirici.
- RT-AX57 – Temel ihtiyaçlar için tasarlanmış, 3000 Mbps’ye kadar hız sunan, AiMesh destekli ve temel ebeveyn kontrollerine sahip çift bantlı WiFi 6 yönlendirici.
- RT-AC86U – AiProtection, uyarlanabilir QoS ve oyun hızlandırma özelliklerine sahip, 2900 Mbps’ye kadar hız sunan çift bantlı WiFi 5 yönlendirici.
- RT-AC68U – AiMesh desteği, AiProtection ve güçlü ebeveyn kontrolleri ile 1900 Mbps’ye kadar hız sunan çift bantlı WiFi 5 yönlendirici.
ASUS, kullanıcıların cihazlarını indirme portallarında bulunan en son ürün yazılımı sürümlerine güncellemelerini öneriyor Firmware güncelleme talimatları firmanın ilgili web sitesinde yer alan SSS sayfasında mevcut.
Güncelleme alamayanlar için önemli uyarılar
Ürün yazılımını hemen güncelleyemeyenler içinse ASUS hesap ve WiFi şifrelerinin güçlü (10’dan fazla ardışık olmayan karakter uzunluğunda) olduğundan emin olmalarını önermekte. Ayrıca, yönetici paneline internet erişimi, WAN’dan uzaktan erişim, port yönlendirme, DDNS, VPN sunucusu, DMZ ve port tetiklemenin devre dışı bırakılması öneriliyor.
Tayvan’ın siber güvenlik kurumu da dün yayınladığı bir yazıda CVE-2024-3912 hakkında kamuoyunu bilgilendirdi; bu, kimliği doğrulanmamış, uzaktan saldırganların cihaz üzerinde sistem komutlarını yürütmesine izin veren kritik (9.8) bir keyfi ürün yazılımı yükleme güvenlik açığıdır.
Aynı pakette ele alınan bir diğer güvenlik açığı, istismar etmek için yönetici hesabı erişimi gerektiren yüksek şiddetli (7.2) bir arabellek taşması sorunu olan CVE-2024-3079 olarak göze çarpıyor.
Ana güvenlik güncellemelerini indirin
Son olarak kısa bir süre önce MSI ile birlikte Copilot Plus oyun dizüstü bilgisayarlarını duyuran ASUS, yönlendiricilerde kullanılan ve kullanıcıların torrent, HTTP veya FTP aracılığıyla bağlı bir USB depolama aygıtına doğrudan dosya yönetmelerini ve indirmelerini sağlayan bir yardımcı program olan Download Master için bir güncelleme duyurdu.
Yeni yayınlanan Download Master 3.1.0.114 sürümü, keyfi dosya yükleme, OS komut enjeksiyonu, arabellek taşması, yansıtılmış XSS ve depolanmış XSS sorunlarıyla ilgili beş orta ila yüksek önem derecesine sahip sorunu ele alıyor.
Bunların hiçbiri CVE-2024-3080 kadar kritik olmasa da, kullanıcıların en iyi güvenlik ve koruma için yardımcı programlarını 3.1.0.114 veya sonraki bir sürüme yükseltmeleri öneriliyor.