华硕路由器漏洞被修复：影响近 9000 台，被利用可构建僵尸网络

5 月 29 日消息，网络安全平台 GreyNoise 昨日（5 月 28 日）发布博文，报道称在一场持续的网络攻击中，近 9000 台华硕路由器被植入后门，未来可能被用于构建僵尸网络。

目前华硕已发布固件修复。注：若设备在更新固件前已被植入后门，需先完全恢复出厂设置并重新配置。

报告介绍了身份认证绕过访问（尚未分配 CVE 编号和 CVE-2021-32030）和命令执行（CVE-2023-39780）方面的漏洞。

在身份绕过方面，尚未分配 CVE 编号的漏洞影响华硕 RT-AC3200 和 RT-AC3100 路由器，攻击者通过伪装成华硕用户代理“asusrouter--”以及使用“asus_token=”cookie 后跟一个空字节，在身份验证过程中提前终止字符串解析，从而绕过身份验证。

而 CVE-2021-32030 漏洞专门针对华硕 GT-AC2900 和 Lyra Mini 设备，可以绕过身份验证。

攻击者一旦获得认证访问权限，便可以利用内置设置和安全漏洞在 TCP / 53282 建立 SSH 连接，并为持久的远程访问设置一个由攻击者控制的公钥。

在命令执行方面，该公司发现了针对华硕 RT-AX55 系列型号的 CVE-2023-39780 漏洞，攻击者利用 Bandwidth SQLite Logging（BWSQL）嵌入日志功能，激活脚本注入，执行用户控制的数据。

截至 5 月 27 日，根据该机构的扫描数据，全球有将近 9000 台华硕路由器确认被入侵。

这些攻击中的后门配置并非存储在硬盘上，而是存储在非易失性随机存取存储器（NVRAM）中，因此重启和固件更新无法清除。

GreyNoise 警告，若路由器在更新前已被攻破，后门将持续存在，除非手动检查并移除 SSH 访问。建议用户对疑似受感染设备进行完全恢复出厂设置并重新配置，检查 TCP / 53282 端口的 SSH 访问及 authorized_keys 文件中的未授权条目。