Se ha reportado un nuevo aviso de seguridad sobre tres vulnerabilidades críticas que afectan a routers ASUS, que permitirían a un atacante remoto no autenticado realizar ejecución remota de código (RCE), provocar denegación de servicios (DoS) y realizar operaciones arbitrarias en el dispositivo afectado.
Las vulnerabilidades reportadas se componen de 3 (tres) de severidad “Crítica”. Las mismas se detallan a continuación:
- CVE-2023-39238 y CVE-2023-39240, ambas de severidad “Crítica” y con puntuación asignada de 9.8. Estas vulnerabilidades se deben a una falla de validación de cadena de formatos de entrada del módulo de API relacionado con la función iperf ‘ser_iperf3_svr.cgi’ de los routers ASUS RT-AX55, RT-AX56U_V2 y RT-AC86U. Esto permitiría a un atacante remoto no autenticado realizar ejecución remota de código (RCE), divulgación de información, operaciones arbitrarias y provocar denegación de servicios (DoS) en el dispositivo afectado.
- CVE-2023-39239, de severidad “Crítica” y con puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de validación de cadena de formatos de entrada del módulo de API de la función de configuración general de los routers ASUS RT-AX55, RT-AX56U_V2 y RT-AC86U. Esto permitiría a un atacante remoto no autenticado realizar ejecución remota de código (RCE), divulgación de información, operaciones arbitrarias y provocar denegación de servicios (DoS) en el dispositivo afectado.
Los productos afectados son:
- RT-AX55, versión de firmware 3.0.0.4.386_50460.
- RT-AX56U_V2, versión de firmware 3.0.0.4.386_50460.
- RT-AC86U, versión de firmware 3.0.0.4_386_51529.
Recomendamos instalar las actualizaciones correspondientes provistas por el fabricante, mediante los siguientes enlaces:
Referencias:
- https://www.bleepingcomputer.com/news/security/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39238
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39239
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39240
- https://www.twcert.org.tw/tw/cp-132-7354-4e654-1.html
- https://www.twcert.org.tw/tw/cp-132-7355-0ce8d-1.html
- https://www.twcert.org.tw/tw/cp-132-7356-021bf-1.html
- https://www.asus.com/networking-iot-servers/wifi-routers/all-series/rt-ax55/helpdesk_bios/?model2Name=RT-AX55
- https://www.asus.com/networking-iot-servers/wifi-6/all-series/rt-ax56u/helpdesk_bios/?model2Name=RT-AX56U
- https://www.asus.com/supportonly/rt-ac86u/helpdesk_bios/?model2Name=RT-AC86U