ASUS, çeşitli yönlendirici modellerinde tespit edilen ve kimliği doğrulanmamış saldırganların cihazların kontrolünü ele geçirmesine olanak tanıyan kritik bir güvenlik açığı için yeni bir ürün yazılımı güncellemesi yayınladı. CVE-2024-3080 koduyla izlenen bu güvenlik açığı, CVSS v3.1 puanı 9.8 olarak değerlendirilmiş ve kimlik doğrulama atlama açığı olarak tanımlanmıştır.
Etkilenen Yönlendirici Modelleri
ASUS, aşağıdaki yönlendirici modellerinin bu kritik güvenlik açığından etkilendiğini bildirdi:
- XT8 (ZenWiFi AX XT8): Üç bantlı kapsama alanı, AiMesh desteği, AiProtection Pro ve ebeveyn kontrolleri sunan Mesh WiFi 6 sistemi.
- XT8_V2 (ZenWiFi AX XT8 V2): XT8’in performans ve kararlılıktaki geliştirmelerle benzer özelliklere sahip güncellenmiş sürümü.
- RT-AX88U: 6000 Mbps’ye kadar hızlara sahip, 8 LAN bağlantı noktası, AiProtection Pro ve uyarlanabilir QoS içeren çift bantlı WiFi 6 yönlendirici.
- RT-AX58U: AiMesh desteği, AiProtection Pro ve MU-MIMO ile 3000 Mbps’ye kadar hız sağlayan çift bantlı WiFi 6 yönlendirici.
- RT-AX57: 3000 Mbps’ye kadar hız sunan, AiMesh destekli ve temel ebeveyn kontrollerine sahip çift bantlı WiFi 6 yönlendirici.
- RT-AC86U: AiProtection, uyarlanabilir QoS ve oyun hızlandırma özelliklerine sahip, 2900 Mbps’ye kadar hız sunan çift bantlı WiFi 5 yönlendirici.
- RT-AC68U: AiMesh desteği, AiProtection ve güçlü ebeveyn kontrolleri ile 1900 Mbps’ye kadar hız sunan çift bantlı WiFi 5 yönlendirici.
Kullanıcılar İçin Önerilen Güvenlik Önlemleri
ASUS, kullanıcıların cihazlarını en son ürün yazılımı sürümlerine güncellemelerini öneriyor. Güncelleme talimatları firmanın web sitesinde bulunan SSS sayfasında yer alıyor.
Güncelleme yapamayan kullanıcılar için önemli güvenlik önerileri şunlardır:
- Güçlü ASUS hesap ve WiFi şifreleri kullanın (10’dan fazla ardışık olmayan karakter).
- Yönetici paneline internet erişimini, WAN’dan uzaktan erişimi, port yönlendirmeyi, DDNS, VPN sunucusunu, DMZ ve port tetiklemeyi devre dışı bırakın.
Diğer Kritik Güvenlik Açıkları
Tayvan’ın siber güvenlik kurumu, CVE-2024-3912 koduyla izlenen ve kimliği doğrulanmamış saldırganların cihaz üzerinde sistem komutlarını yürütmesine izin veren bir güvenlik açığını kamuoyuna duyurdu. Ayrıca, CVE-2024-3079 koduyla izlenen ve yönetici hesabı erişimi gerektiren bir arabellek taşması sorunu da yüksek şiddetli (7.2) olarak değerlendirilmiştir.
Download Master Güncellemesi
ASUS, kısa süre önce MSI ile birlikte Copilot Plus oyun dizüstü bilgisayarlarını duyurmuştu. Aynı zamanda, yönlendiricilerde kullanılan Download Master yardımcı programı için yeni bir güncelleme yayınladı. Download Master 3.1.0.114 sürümü, keyfi dosya yükleme, OS komut enjeksiyonu, arabellek taşması, yansıtılmış XSS ve depolanmış XSS sorunlarıyla ilgili beş orta ila yüksek önem derecesine sahip sorunu ele alıyor. Kullanıcıların bu yardımcı programı 3.1.0.114 veya sonraki bir sürüme güncellemeleri öneriliyor.