Asus усунув помилки у файлах VPN та Telnet у маршрутизаторах

Помилки у файлах VPN та Telnet

Файл конфігурації VPN-клієнта, завантажений з веб-інтерфейсу керування маршрутизатором Asus, дозволяє зловмиснику виконувати довільні команди. Помилка CVE-2026-14157 має оцінку 9,4 з 10 за шкалою Common Vulnerability Scoring System 4.0. Asus усунула помилку і рекомендує імпортувати файли конфігурації VPN-клієнта лише з надійних джерел.

Окрема вразливість, CVE-2026-13313, використовує залишковий налагоджувальний код, щоб обійти перевірки безпеки та увімкнути Telnet. Команди можуть виконуватися з привілеями root, що впливає на пристрої, підключені до маршрутизатора. Оцінка помилки — 8,9 з 10. Прошивка серії 3.0.0.6_102 вразлива до обох помилок, а серії 3.0.0.4_386 і 3.0.0.4_388 також уражені помилкою Telnet.

Поширення та рекомендовані дії

Проблема з VPN стосується власників, які імпортують файл конфігурації в маршрутизатор Asus, налаштований як VPN-клієнт, а не до VPN-застосунків на ноутбуках чи телефонах. Текст, створений у імпортованому файлі, може інтерпретуватися як інструкції форматування замість звичайних даних. Шлях імпорту через веб-адміністрування є повторюваним слабким місцем: CVE-2026-14157 використовує ту саму точку входу, що й CVE-2024-0401, яка була пов'язана зі створеним профілем OVPN і опублікована VulnCheck у 2024 році.

Asus рекомендує використовувати надійний і унікальний пароль адміністратора, який складається з мінімум 10 символів і включає комбінацію великих літер, цифр та спеціальних знаків. Вона також попереджає не запускати скрипти, інструменти чи команди з ненадійних джерел на пристроях у локальній мережі. Постраждалим користувачам слід перевіряти сторінки підтримки або продукту Asus для оновлень прошивки. Маршрутизатори, термін підтримки яких закінчився, більше не отримуватимуть нових оновлень прошивки, тому їхнім власникам рекомендовано використовувати надійні та унікальні паролі для входу та Wi-Fi.

Виправлення охоплює 13 материнських плат

Asus також усунула вразливість, яка стосується 13 материнських плат. Зловмисник, що перебуває фізично поруч, може прочитати або записати довільну системну пам'ять за допомогою спеціально створеного пристрою. Помилка стосується багатьох материнських плат Z390 і C240, вимагає фізичного доступу та має оцінку тяжкості 7,0 з 10.

Виправлення — це версія BIOS 1502 для WS Z390 Pro та версія 2203 для решти 12 материнських плат.