Die Sicherheit von Asus-Routern ist durch eine Schwachstelle in Asus‘ AiCloud-Dienst bedroht. Angreifer können dadurch unbefugt Funktionen ausführen, warnt der Hersteller.
Im CVE-Eintrag zur Schwachstelle erörtert Asus, dass in der AiCloud eine unzureichende Authentifizierungskontrolle stattfinde. Diese lasse sich durch manipulierte Anfragen missbrauchen, um ohne Autorisierung Funktionen auszuführen (CVE-2025-2492, CVSS 9.2, Risiko „kritisch„).
Überall-Zugriff auf Daten
Da Asus keine Details zu der Schwachstelle nennt, liefern die Angaben keine Einblicke, wie Angreifer sie etwa missbrauchen können. Die Asus AiCloud-Software stellt jedoch Funktionen bereit, um etwa mittels App auf Daten im heimischen LAN zugreifen zu können, also überall Zugang zu den eigenen Daten zu erhalten. In der Sicherheitsmitteilung schreibt Asus lediglich, dass die Entwickler aktualisierte Firmware für die Serien 3.0.0.4_382, 3.0.0.4_386, 3.0.0.4_388 und 3.0.0.6_102 veröffentlicht hat. Die soll die Schwachstelle ausbessern.
Asus empfiehlt, die neue Firmware zu installieren, die auf der Asus-Support-Webseite erhältlich ist, wenn man nach der Modellnummer sucht. Als weiteren Sicherheitstipp nennt der Hersteller, dass etwa das WLAN und die Router-Administrationswebseite unterschiedliche Passwörter haben sollten. Diese sollten zudem mindestens zehn Zeichen lang sein und einen Mix aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen aufweisen. Explizit warnt Asus vor Passwörtern mit einfachen Zahlen- oder Buchstabenfolgen, wie sie sich etwa alphabetisch sortiert oder durch das Drücken der auf der Tastatur nebeneinander liegenden Tasten ergeben.
Denjenigen, die das Update nicht durchführen können oder die aufgrund des End-of-Life ihres eingesetzten Geräts kein Firmware-Update erhalten können, rät Asus, darauf zu achten, dass Router- und WLAN-Passwörter stark sind. Zudem sollten Betroffene AiCloud deaktivieren und jedweden Dienst abschalten, der aus dem Internet erreichbar ist, wie den Fernzugriff aus dem WAN, Portforwarding, DDNS, den VPN-Server, die DMZ, Porttriggering und FTP.
Anfang Januar wurden bereits Sicherheitslücken in Asus‘ AiCloud-Dienst bekannt. Dadurch hätten Angreifer Geräte vollständig kompromittieren können. Auch dort verteilte der Hersteller Firmware-Updates, um die Probleme zu lösen.
(dmk)