ASUS Router: Format-String-Schwachstelle ermöglicht Befehlsausführung

Zusammenfassung

Die Router-Firmware von ASUS enthält eine extern steuerbare Format-String-Schwachstelle (CWE-134) in der Web-Verwaltungsoberfläche, in der hochgeladene Dateien unsicher verarbeitet werden. Ein authentifizierter entfernter Benutzer mit hohen Privilegien kann beliebige Befehle auf dem Gerät ausführen; der CVSS-4.0-Wert von 9.4 spiegelt die vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Presseberichte nennen die Funktion zum Import von VPN-Client-Konfigurationen als Einstiegspunkt, dies ist im CVE-Eintrag jedoch nicht bestätigt.

Betroffen

• ASUS Router, 3.0.0.6_102-Serie (gemäss offiziellem CVE-Eintrag)
• Einzelne Medien nennen zusätzlich die Serien 3.0.0.4_386 und 3.0.0.4_388; vom Hersteller für diese CVE nicht bestätigt
• Genaue Liste der betroffenen Modelle: Unbekannt.

Behoben in

Unbekannt. In den geprüften Quellen wurde für diese CVE noch keine bestätigte korrigierte Firmware-Version veröffentlicht. Prüfen Sie das Sicherheitsupdate von ASUS und die Support-Seite für Ihr genaues Modell.

Umgehung

• VPN-Client-Konfigurationsdateien nur aus vertrauenswürdigen Quellen importieren.
• Ein starkes, eindeutiges Administratorpasswort verwenden.
• Die Verwaltungsoberfläche nur aus vertrauenswürdigen Netzen erreichbar machen; WAN-seitige Administration deaktivieren.
• Bis zu einer bestätigten Korrektur die VPN-Importfunktion auf nicht überprüfbaren Geräten nicht verwenden.

Ausnutzung

• Nicht in freier Wildbahn bestätigt. Weder der CVE-Eintrag noch die Router-Sicherheitshinweise nennen eine Ausnutzung.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.

Unsere Empfehlung

• Alle ASUS-Router inventarisieren und Modell sowie genaue Firmware-Version erfassen.
• Das Firmware-Update einspielen, sobald die korrigierte Version für Ihr Modell bestätigt ist; Geräte am Lebensende, für die keine Firmware mehr erscheint, ersetzen.
• Bis zur Behebung WAN-Administrationszugriff deaktivieren, Administratorpasswörter wechseln und keine VPN-Dateien aus externen Quellen importieren.
• Administrationsprotokolle auf unerwartete VPN-Profil-Uploads oder Konfigurationsänderungen prüfen.
• Auf der gleichen Firmware-Serie die verwandte CVE-2026-13313 prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ASUS Security Advisory www.asus.com
• CyberInsider: ASUS warns of critical router flaw triggered by malicious VPN files cyberinsider.com
• Cybernews: ASUS router VPN flaw hijack cybernews.com
• Tom's Hardware: Malicious VPN config files can let attackers run commands on ASUS routers www.tomshardware.com
• Lavx: ASUS patches critical router flaws news.lavx.hu
• OffSeq Radar: CVE-2026-14157 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:18.