Asus תיקנה באגים בקבצי VPN וב-Telnet בנתבים

פרצות בקבצי VPN וב-Telnet

קובץ התצורה שנוצר בהעלאה של תצורת לקוח VPN מממשק ניהול האינטרנט של נתבי Asus מאפשת לתוקף להפעיל פקודות שרירותיות. לפרצה מספר CVE-2026-14157, ובדירוג לפי Common Vulnerability Scoring System 4.0 היא מקבלת 9.4 מתוך 10. Asus תיקנה את הפרצה וממליצה לייבא קבצי תצורה של לקוח VPN רק ממקורות מהימנים.

פרצה נפרדת, CVE-2026-13313, משתמשת בקוד דיבאג שנותר כדי לעקוף בדיקות אבטחה ולהפעיל Telnet. ייתכן שפקודות יופעלו עם הרשאות root, מה שעלול להשפיע גם על התקנים המחוברים לנתב. דירוג החומרה של הפרצה הוא 8.9 מתוך 10. סדרת הקושחה 3.0.0.6_102 פגיעה לשתי הפרצות, וסדרות 3.0.0.4_386 ו-3.0.0.4_388 פגיעות גם לפרצת Telnet.

התפשטות ופעולות מומלצות

בעיית ה-VPN משפיעה על בעלי נתבים שמייבאים קובץ תצורה לנתב Asus המוגדר כלקוח VPN, ולא על אפליקציות VPN במחשבים ניידים או בטלפונים. הטקסט שנוצר בקובץ המיובא עלול להתפרש כהוראות פורמט במקום נתונים רגילים. נתיב הייבוא של ניהול האינטרנט הוא נקודת תורפה חוזרת: CVE-2026-14157 משתמשת באותה נקודת כניסה כמו CVE-2024-0401, שהייתה קשורה לפרופיל OVPN שנוצר ופורסמה על ידי VulnCheck בשנת 2024.

Asus ממליצה להשתמש בסיסמת מנהל חזקה וייחודית, המורכבת מ-10 תווים לפחות וכוללת שילוב של אותיות גדולות, מספרים ותווים מיוחדים. היא גם מזהירה לא להריץ סקריפטים, כלים או פקודות ממקורות לא מהימנים על התקנים ברשת המקומית. משתמשים שנפגעו צריכים לבדוק את אתרי התמיכה או המוצרים של Asus לקבלת עדכוני קושחה. נתבים שפג תוכחת התמיכה שלהם לא יקבלו עדכוני קושחה חדשים, ולכן מומלץ לבעליהם להשתמש בסיסמאות כניסה ו-Wi-Fi חזקות וייחודיות.

התיקון כולל 13 לוחות אם

Asus תיקנה גם פרצה המשפיעה על 13 לוחות אם. תוקף בקרבה פיזית יכול לקרוא או לכתוב זיכרון מערכת שרירותי באמצעות התקן שנוצר במיוחד. הפרצה משפיעה על לוחות אם רבים מסוג Z390 ו-C240, דורשת גישה פיזית ודירוג החומרה שלה הוא 7.0 מתוך 10.

התיקון הוא גרסת BIOS 1502 עבור WS Z390 Pro וגרסה 2203 עבור 12 לוחות האם הנותרים.