Trois vulnérabilités d’exécution de code à distance de gravité critique affectent les routeurs ASUS RT-AX55, RT-AX56U V2 et RT-AC86U, permettant potentiellement aux attaquants modernes de détourner les appareils si les mises à jour de sécurité ne sont pas installées.
Les failles, qui ont toutes un score CVSS v3.1 de 9,8 sur 10,0, sont des vulnérabilités de chaînes de format qui peuvent être exploitées à distance et sans authentification, permettant potentiellement l’exécution de code à distance, des interruptions de service et l’exécution d’opérations arbitraires sur l’appareil.
Les failles dans les chaînes de format sont des problèmes de sécurité résultant d’une entrée utilisateur non validée et/ou non nettoyée dans les paramètres de chaîne de format de certaines fonctions.
Les attaquants exploitent ces failles à l’aide d’entrées spécialement conçues envoyées aux appareils vulnérables.
ASUS a publié des correctifs pour les trois failles au début du mois d’août 2023 pour la RT-AX55, en mai 2023 pour la AX56U V2, et en juillet 2023 pour la RT-AC86U. Les utilisateurs qui n’ont pas appliqué les mises à jour de sécurité depuis lors doivent considérer que leurs appareils sont vulnérables aux attaques et donner la priorité à l’action dès que possible.
Comme de nombreuses failles dans les routeurs grand public ciblent la console d’administration web, il est fortement conseillé de désactiver la fonction d’administration à distance pour empêcher l’accès depuis l’internet.
