Независимый исследователь Девид Лонжнекер (David Longenecker) обнаружил очень простую и очень неприятную уязвимость в маршрутизаторах компании Asus, работающих на базе прошивки ASUSWRT. «Благодаря» проблемам в интерфейсе, панель администратора доступна удаленно всем желающим.
По оценкам исследователя, проблема затрагивает порядка 140 000 роутеров Asus. Большая их часть «светит» админкой в интернете через HTTP, и еще около 15 000 устройств доступны через HTTPS. От бага страдают все роутеры, работающие под управлением прошивки ASUSWRT, то есть все, в названии которых присутствуют буквы RT.
Баг, судя по всему, является обычной мелкой халатностью разработчиков. Обычно, чтобы запретить удаленный доступ к панели администратора, в настройках устройства нужно найти опцию «Enable Web Access from WAN», и выбрать вариант «No». Однако роутеры Asus поставляются со встроенным брандмауэром, для активации которого в настройках есть пункт «Enable Firewall».
Лонжнекер обнаружил, что если встроенный файерволл отключить, выбрав «No», это по какой-то причине отменяет также и запрет «Enable Web Access from WAN». То есть, если пользователь отключил брандмауэр, уже не важно, включена опция «Enable Web Access from WAN» или нет. Она отключается в любом случае.
Исследователь уже уведомил Asus об ошибке, и компания готовит новую версию прошивки, исправляющую баг. А пока патч не вышел, всем пользователям рекомендуется проверить, включен ли файервол на их устройстве.