聚焦源代码安全，网罗国内外最新资讯！
AiCloud 是基于云的远程访问特性，配置在很多款华硕路由器中，可将路由器转换为用于远程媒体流和云存储的私有云服务器。
华硕公司提到，CVE-2025-59366“可由 Samba 功能的意外副作用触发，导致在无需授权的情况下执行特定函数”。无需权限的远程攻击者可组合利用该漏洞以及一个路径遍历漏洞和一个操作系统命令注入弱点，发动无需用户交互的复杂度较低的攻击活动。
华硕在周一发布的安全公告中强烈建议所有用户尽快将路由器固件立即更新至最新版本。受影响固件版本是3.0.0.4_386系列、3.0.0.4_388系列以及3.0.0.6_102系列，相关漏洞包括：CVE-2025-59365、CVE-2025-59366、CVE-2025-59368、CVE-2025-59369、CVE-2025-59370、CVE-2025-59371、CVE-2025-59372以及CVE-2025-12003。
虽然该公司并未明确说明受影响的路由器信号，仅提到修复该漏洞的固件版本，但为无法接收固件更新的已达生命周期机型用户提供了多项缓解措施。
为阻止潜在攻击，华硕建议用户禁用可从互联网访问的任何服务，包括WAN远程访问、端口转发、DDNS、VPN服务器、DMZ、端口触发和FTP，以及切断运行 AiCloud 软件设备的远程访问权限。该公司还建议采取其它措施减小攻击面并确保路由器免受潜在攻击影响，如为路由器管理员页面和无线网络使用强密码。
4月份，华硕还修复了另外一个严重的认证绕过漏洞CVE-2025-2492，它可通过针对启用 AiCloud 路由器的构造请求触发。该漏洞与其它6个漏洞被用于 WrtHug 攻击活动中，数千台华硕 WRT 路由器遭劫持。这起攻击活动针对位于中国台湾省以及东南亚、俄罗斯、中欧以及美国地区已达生命周期或老旧设备。
https://www.bleepingcomputer.com/news/security/asus-warns-of-new-critical-auth-bypass-flaw-in-aicloud-routers/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~