Mrbruh

يؤدي عدم تحييد العناصر الخاصة المستخدمة في أمر نظام التشغيل بشكل صحيح إلى السماح لمستخدم عن بُعد بتنفيذ أوامر عشوائية بصلاحيات الجذر (root). يحدث هذا عند إرسال معاملات مصممة خصيصًا إلى جهاز التوجيه بينما يكون الجهاز في حالة ضبط المصنع الافتراضية.

يسمح خلل في المصادقة في وحدات جهاز توجيه ASUS لمستخدم قريب غير مصرح له بإرسال طلب HTTP وتزوير تذكرة وصول، مما يمكنه لاحقاً من تنفيذ عمليات المسؤول.

تحدث مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) وحقن أوامر نظام التشغيل عندما لا يتم تحييد العناصر الخاصة المستخدمة في أمر نظام التشغيل بشكل صحيح. يسمح هذا للمهاجم بخداع مسؤول تسجيل الدخول لزيارة موقع تصيد احتيالي، مما يؤدي إلى تنفيذ أوامر عشوائية بصلاحيات الجذر (root) على جهاز التوجيه.

توجد مشكلة «Zip Slip» في وظيفة ترقية ISP في WebUI. تحدث هذه المشكلة عندما يفشل النظام في التحقق من صحة الأرشيفات بشكل صحيح، مما يسمح لمسؤول معتمد بإجراء عمليات كتابة ملفات عشوائية عبر أرشيف مُعد خصيصًا يحتوي على تسلسلات لاجتياز الدلائل. اجتياز الدليل هو تقنية تُستخدم للوصول إلى الملفات والدلائل المخزنة خارج المجلد الجذر للويب. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى الكتابة فوق ملفات عشوائية على النظام الأساسي، مما يعرض سلامة النظام وتوافره للخطر.

توجد مشكلة تتعلق بحقن الأوامر في واجهة سطر الأوامر (CLI) الخاصة بـ Telnet في الجهاز. ويرجع ذلك إلى عدم كفاية عملية تنقية البيانات أثناء بعض عمليات واجهة سطر الأوامر. يمكن لمهاجم تمت مصادقته ويتمتع بامتيازات عالية تنفيذ أوامر نظام عشوائية. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى اختراق الجهاز بالكامل، مما قد يؤدي إلى فقدان السرية والسلامة والتوافر. تؤثر هذه الثغرة على معالجة البيانات داخل واجهة سطر الأوامر (CLI).

تم تحديد ثغرة أمنية في MyASUS تتعلق بالتخزين غير الآمن للمفاتيح الحساسة. وقد يتيح ذلك لجهات غير مصرح لها الحصول على رمز (token) يُستخدم للتواصل مع خدمات معينة.

تم تحديد مشكلة تتعلق بالتخزين غير الآمن للمفاتيح الحساسة في MyASUS، مما قد يسمح لجهات غير مصرح لها بالحصول على رمز يمكن استخدامه للتواصل مع خدمات معينة.

يوجد عيب في عملية التحقق من الصحة في برنامج ASUS DriverHub. يقتصر هذا العيب على اللوحات الأم ولا يؤثر على أجهزة الكمبيوتر المحمولة أو أجهزة الكمبيوتر المكتبية أو أي أجهزة طرفية أخرى. قد تسمح هذه الثغرة لمصادر غير موثوقة بالتأثير على سلوك النظام من خلال طلبات HTTP تم التلاعب بها. وترتبط السبب الجذري بأخطاء في عملية مصادقة الشهادات. وقد يؤدي استغلال هذه الثغرة إلى حدوث رفض الخدمة.

تكمن الثغرة في آلية التحقق من صحة مصدر البيانات في برنامج ASUS DriverHub. ويؤدي عدم كفاية عملية التحقق إلى السماح لمصادر غير مصرح بها بالتفاعل مع وظائف البرنامج من خلال طلبات HTTP مُصممة خصيصًا. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). تقتصر هذه الثغرة الأمنية على اللوحات الأم ولا تؤثر على أجهزة الكمبيوتر المحمولة أو أجهزة الكمبيوتر المكتبية أو أي أجهزة طرفية أخرى. يمكن للمهاجمين إنشاء نطاقات ضارة لتسهيل إرسال طلبات HTTP مزيفة يتم معالجتها بواسطة برنامج DriverHub.