ASUS製ルータの脆弱性、ベンダー発表以上に高リスク - 国内外で被害拡大

一部ASUS製Wi-Fiルータにおける既知の脆弱性が悪用され、乗っ取られる被害が拡大している。ベンダーのセキュリティアドバイザリでは、悪用に高い権限が必要とされていたが、実際は認証なしに悪用が可能だったという。

ASUS製Wi-Fiルータに関しては、2025年1月のアドバイザリでコマンドインジェクションの脆弱性「CVE-2024-12912」「CVE-2024-13062」が公表されている。

ルータに搭載されているUSB接続の外部ドライブをNASとして利用できる機能「AiCloud」に見つかった脆弱性だが、これらを悪用され、機器が乗っ取られてボット化していることがわかった。

情報通信研究機構（NICT）やJPCERTコーディネーションセンターが、侵害された機器から発信されている通信を観測しているとして注意喚起を行った。

ASUSが公表したアドバイザリでは、脆弱性を悪用するには管理者としてアクセスする権限が必要とされており、共通脆弱性評価システム「CVSSv3.1」のベーススコアも高権限が必要として「7.5」と評価されていた。

しかし、NICTの調査で「AiCloud」の管理画面にアクセスできる場合、認証を必要とすることなく「CVE-2024-12912」を悪用できることが判明。認証なしにリモートよりルータの設定を改ざんしたり、マルウェアへ感染させることが可能だったという。

（Security NEXT - 2025/04/18 ）ツイート