Asus сообщила о выпуске новых прошивок для маршрутизаторов, устраняющих девять уязвимостей, среди которых выделяется критическая ошибка обхода аутентификации в функции AiCloud (CVE-2025-59366). По данным компании, баг позволяет удалённым атакующим без привилегий выполнять ряд операций на устройстве, не проходя надлежащую авторизацию.
Проблема связана с непредвиденным побочным эффектом в функциональности Samba и может эксплуатироваться через комбинацию path traversal и инъекции команд. Атаки не требуют взаимодействия с пользователем, что делает уязвимость особенно опасной для роутеров, к которым открыт доступ из интернета. Asus настоятельно рекомендует всем владельцам устройств с активной AiCloud немедленно установить последние версии прошивок.
Производитель не уточнил конкретные модели уязвимых роутеров, однако перечислил ветки прошивок, в которых закрыты все девять уязвимостей: серии 3.0.0.4_386, 3.0.0.4_388 и 3.0.0.6_102. Владельцам устаревших и уже неподдерживаемых моделей, которые не получат патчи, предложено отключить все сервисы, доступные из интернета: удалённый доступ через WAN, переадресацию портов, DDNS, VPN-сервер, DMZ, port triggering, FTP, а также удалённый доступ к устройствам с AiCloud, подверженным CVE-2025-59366.
AiCloud интегрирована во многие роутеры Asus и превращает их в частное облако: пользователи могут получать доступ к файлам на USB-накопителях, транслировать мультимедиа, синхронизировать данные между домашней сетью и внешними облачными сервисами, а также делиться файлами по ссылкам. Именно высокая популярность и широкая функциональность AiCloud делают подобные уязвимости особенно привлекательными для злоумышленников.
В апреле 2025 года Asus уже устраняла другую критическую уязвимость обхода аутентификации в AiCloud — CVE-2025-2492, активируемую специальным запросом. Позже стало известно, что она, наряду с ещё шестью багами, использовалась в кампании WrtHug для взлома тысяч роутеров Asus. Атаки были нацелены преимущественно на устаревшие устройства в Тайване, странах Юго-Восточной Азии, России, Центральной Европе и США. На фоне новой критической CVE-2025-59366 производитель фактически повторно предупреждает: роутеры с AiCloud необходимо своевременно обновлять или максимально ограничивать их доступ из интернета.