華碩(ASUS)近日發布緊急安全公告，修補旗下多款 DSL 系列路由器存在的重大身份驗證繞過漏洞。該漏洞編號為 CVE-2025-59367，攻擊者可在無需任何身份驗證的情況下，透過遠端方式登入暴露於網際網路上的受影響設備，且攻擊複雜度低、無需使用者互動，對家用與企業網路安全構成嚴重威脅。
漏洞影響範圍與技術特性
根據 ASUS 官方公告，此次漏洞影響 DSL-AC51、DSL-N16 與 DSL-AC750 三款路由器機型。ASUS 表示:「特定 DSL 系列路由器已發現身份驗證繞過漏洞 (authentication bypass vulnerability)，可能允許遠端攻擊者未經授權即可進入受影響系統。」
該漏洞的危險性在於其低攻擊門檻特性。攻擊者無需複雜的技術手段，也不需要欺騙使用者執行任何動作，只要設備連接至網際網路，即可能成為攻擊目標。這種特性使得自動化攻擊工具能夠大規模掃描並入侵脆弱設備。
官方修補方案與下載資訊
ASUS 已針對受影響機型釋出韌體版本 1.1.2.3_1010，強烈建議所有使用者立即更新。使用者可透過 ASUS 支援網頁或產品專屬頁面下載最新韌體。ASUS 官方聲明強調:「建議更新至最新韌體以確保您的設備持續受到保護。」
目前尚無此漏洞遭主動利用的公開報告，但考量路由器漏洞過往常被駭客組織用於建立殭屍網路，並進一步發動分散式阻斷服務攻擊(DDoS)，建議使用者應盡快完成韌體更新，不應等待攻擊發生後才採取行動。
無法立即更新的臨時防護措施
針對無法立即更新韌體的使用者，或使用已停產且不再提供韌體更新的機型使用者，ASUS 提供了一系列緩解措施。建議關閉所有可從網際網路存取的服務，包括:
- 從 WAN 進行的遠端存取 (remote access from WAN)
- 連接埠轉發 (port forwarding)
- 動態網域名稱系統 (DDNS)
- VPN 伺服器 (VPN server)
- DMZe功能
- 連接埠觸發 (port triggering)
- 檔案傳輸協定(FTP)
透過關閉這些服務，可有效阻斷來自外部網路的攻擊路徑，降低設備遭入侵的風險。
路由器安全強化建議
除了修補漏洞與關閉不必要服務外，ASUS 也建議使用者採取額外安全措施，以降低整體攻擊面。這些措施包括:為路由器管理介面與無線網路設定複雜密碼，定期檢查安全更新與新版韌體，以及避免在不同服務間重複使用相同帳號密碼。
ASUS 路由器並非首次成為攻擊目標。今年 6 月，美國網路安全暨基礎設施安全局(CISA)將兩個較舊的 ASUS 路由器漏洞列入已遭主動利用的漏洞清單，分別為影響 RT-AX55 的 CVE-2023-39780 與影響 GT-AC2900 的 CVE-2021-32030。
資安公司 GreyNoise 與法國資安廠商 Sekoia 當時揭露，一個被追蹤為 Vicious Trap 的高能力威脅行為者，利用這兩個漏洞在數千台 ASUS 路由器中植入後門，建立名為 AyySSHush 的殭屍網路。此外，今年 4 月 ASUS 也修補了另一個重大身份驗證繞過漏洞 CVE-2025-2492，影響啟用 AiCloud 服務的多款路由器機型。
這些案例顯示，路由器安全漏洞一旦被發現，極易成為駭客組織的攻擊目標，使用者應將路由器韌體更新視為與作業系統更新同等重要的安全維護工作。
本文轉載自bleepingcomputer。