CVE-2021-41435

Ominięcie ochrony brute-force w routerach ASUS z serii AX

CVSS 9.8v3.1pub. 2021-11-19upd. 2026-07-09

Podatność w mechanizmie CAPTCHA wielu routerów ASUS umożliwia zdalnym atakującym przeprowadzenie nieograniczonej liczby prób logowania bez uwierzytelnienia. Krytyczna ocena CVSS 9.8 wynika z pełnej dostępności zdalnej i braku wymaganych uprawnień do wykorzystania luki.

▸ Pokaż oryginał (EN)

A brute-force protection bypass in CAPTCHA protection in ASUS ROG Rapture GT-AX11000, RT-AX3000, RT-AX55, RT-AX56U, RT-AX56U_V2, RT-AX58U, RT-AX82U, RT-AX82U GUNDAM EDITION, RT-AX86 Series(RT-AX86U/RT-AX86S), RT-AX86U ZAKU II EDITION, RT-AX88U, RT-AX92U, TUF Gaming AX3000, TUF Gaming AX5400 (TUF-AX5400), ASUS ZenWiFi XD6, ASUS ZenWiFi AX (XT8) before 3.0.0.4.386.45898, and RT-AX68U before 3.0.0.4.386.45911, allows a remote attacker to attempt any number of login attempts via sending a specific HTTP request.

🤖 Analiza AI

Jak działa

Mechanizm ochrony przed brute-force oparty na CAPTCHA można ominąć poprzez wysłanie specjalnie spreparowanego żądania HTTP. Serwer nie weryfikuje poprawnie żądań w sposób wymuszający rozwiązanie CAPTCHA, co pozwala atakującemu na wielokrotne, nieograniczone próby logowania do panelu administracyjnego urządzenia. Podatność klasyfikowana jest jako CWE-307, czyli niewystarczające zabezpieczenie przed nadmierną liczbą prób uwierzytelnienia.

Skutki

Atakujący może przeprowadzić atak brute-force na dane uwierzytelniające panelu administracyjnego routera, a w przypadku odgadnięcia hasła uzyskać pełną kontrolę nad urządzeniem, ruchem sieciowym i konfiguracją sieci.

Mitygacja

Należy zaktualizować firmware urządzenia: dla modeli ZenWiFi XD6, ZenWiFi AX (XT8) i pozostałych wymienionych modeli do wersji co najmniej 3.0.0.4.386.45898, a dla modelu RT-AX68U do wersji co najmniej 3.0.0.4.386.45911. Patche dostępne są na stronach producenta wskazanych w referencjach. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do sieci lokalnej lub dedykowanego VPN.

Kogo dotyczy

ASUS ROG Rapture GT-AX11000, RT-AX3000, RT-AX55, RT-AX56U, RT-AX56U_V2, RT-AX58U, RT-AX82U, RT-AX82U GUNDAM EDITION, RT-AX86 Series (RT-AX86U/RT-AX86S), RT-AX86U ZAKU II EDITION, RT-AX88U, RT-AX92U, TUF Gaming AX3000, TUF Gaming AX5400 (TUF-AX5400), ASUS ZenWiFi XD6, ASUS ZenWiFi AX (XT8) — firmware przed wersją 3.0.0.4.386.45898; RT-AX68U — firmware przed wersją 3.0.0.4.386.45911