华硕路由器菊花大开 通过外网就能轻易来去

luckspirit

    一位名叫Jerry的用户近日向媒体反映，当他上周末在浏览外置硬盘中的内容时出现了一个神秘的文本文件，主要内容即是告诉他，他所使用的华硕路由器存在安全漏洞，外界可轻易通过这台存在隐患的路由器访问与之相连的外置存储设备。显然，有人通过某种手段访问了他的路由器！

    这台华硕路由器有一个USB接口，能够接插外置存储设备，方便地在家庭网络或内网中共享文件。但安全人员确认，这部分华硕路由器存在目录穿越等漏洞，只要用户启用AiCloud服务，外网用户在不经过身份验证的情况下就能访问本地的外置存储设备。

    在Jerry外置硬盘中出现的神秘文本文件的内容是这样的：“这是一则自动发送给所有受影响用户的信息。您的华硕路由器（和您的文档）可通过互联网 连接从世界上的任何角落被访问到。您需要做好保护措施，了解更多请点击下面的新闻链接。”除了Jerry之外，还有好多华硕路由器用户都收到了这样一则警 告信息。而且2周之前，国外某组织公布了大约13000个受到相同漏洞影响的华硕路由器IP地址，另外还包括超过10000份与这些华硕路由器相连硬盘的 文件列表。

    实际上早在8个月前，名为Kyle Lovett的安全研究人员就发现了华硕路由器的漏洞，并将之上报给华硕。去年6月22日的报告中提到了通过华硕路由器后方的USB接口连接任何外置存储 设备可被穿越的漏洞。不过当时华硕回应称这“不是个问题”。两周之后，Lovett带着惊讶之情公示了这一漏洞，随后还揭露了更多技术细节。

    Lovett表示：“该漏洞存在于许多通过AiCloud特性启用https web服务访问的设备之上，这些设备存在未认证目录穿越的危害。任意AiCloud选项的启用，‘Cloud Disk（云盘）’、‘Smart Access（智能访问）’、‘Smart Sync（智能同步）’都可导致此漏洞的激活。”受影响的华硕路由器型号包括了RT-AC66R、RT-AC66U、RT-N66R、RT-N66U、 RT-AC56U、RT-N56R、RT-N56U、RT-N14U、RT-N16和RT-N16R。

    本月早前，一篇哈佛大学法学院的博客中也登出了发现华硕路由器存在漏洞的信息，在博主将一台“大型USB驱动器”接插到华硕RT型号的路由器上之 后，“出于好奇，我在浏览器中输入了‘ftp://[我的外部ip地址]’，于是就看到了媒体服务器上的内容，我震惊了。我当时还找理由说可能是因为我就 处在内网的关系（但根本说不通），我真的有些慌了。于是我掏出手机，断开WiFi连接然后再次尝试一样的操作（即是使用外部网络进行访问）。然后就悲剧 了。”

　　报道称华硕当前已经从上周开始着手修复存在的漏洞了，但仍有许多存在这一漏洞的路由器还没有打上补丁。在此建议使用路由器的各位，及时升级官方提供的最新固件，修改默认密码，并且在不需要的情况下关闭远程管理、云和FTP服务。

beastkk

这是很久以前的新闻了吧，最新的固件已经修复了