Ứng dụng MyASUS của ASUS đã công bố một lỗ hổng CVE bảo mật nghiêm trọng, cho phép kẻ tấn công cục bộ leo thang đặc quyền lên cấp độ SYSTEM trên các thiết bị Windows bị ảnh hưởng. Điều này đặt ra rủi ro đáng kể cho hàng triệu người dùng máy tính ASUS trên toàn thế giới.
Phân Tích Lỗ Hổng CVE Nghiêm Trọng (CVE-2025-59373)
Lỗ hổng này được theo dõi dưới mã định danh CVE-2025-59373 và mang điểm CVSS 4.0 cao 8.5. Đây là một lỗ hổng CVE nghiêm trọng, cho thấy mức độ rủi ro cao và khả năng bị khai thác đáng kể.
Cơ Chế Khai Thác
Lỗ hổng tồn tại trong ASUS System Control Interface Service. Đây là một thành phần cốt lõi của ứng dụng MyASUS, chịu trách nhiệm quản lý các cài đặt phần cứng và tiện ích hệ thống trên máy tính cá nhân ASUS.
Kẻ tấn công có quyền truy cập cục bộ ở mức độ thấp có thể lợi dụng lỗ hổng CVE này để leo thang đặc quyền. Từ đó đạt được quyền truy cập cấp độ SYSTEM, mang lại cho chúng quyền kiểm soát hoàn toàn máy tính bị ảnh hưởng.
Tác Động Hệ Thống
Với quyền truy cập cấp độ SYSTEM, các tác nhân đe dọa có khả năng thực thi mã tùy ý. Chúng có thể cài đặt mã độc, truy cập dữ liệu nhạy cảm, sửa đổi cấu hình hệ thống và di chuyển ngang trong mạng doanh nghiệp.
Điều này làm cho lỗ hổng CVE đặc biệt nguy hiểm trong môi trường doanh nghiệp. Một điểm cuối bị xâm nhập có thể dẫn đến sự xâm nhập mạng rộng lớn hơn và chiếm quyền điều khiển các hệ thống khác.
Điều Kiện Khai Thác
Việc khai thác lỗ hổng CVE này yêu cầu quyền truy cập cục bộ vào hệ thống mục tiêu. Tuy nhiên, độ phức tạp tấn công thấp, không yêu cầu tương tác người dùng và chỉ cần đặc quyền tối thiểu để kích hoạt khai thác.
Tác động tiềm tàng bao gồm các lo ngại cao về tính bảo mật (confidentiality), tính toàn vẹn (integrity) và tính sẵn sàng (availability) của dữ liệu và hệ thống. Phạm vi tác động vẫn được giữ nguyên trong thành phần dễ bị tổn thương.
Các Hệ Thống Bị Ảnh Hưởng và Giải Pháp Vá Lỗi
Lỗ hổng CVE-2025-59373 ảnh hưởng đến tất cả máy tính cá nhân ASUS chạy ứng dụng MyASUS. Bao gồm máy tính để bàn, máy tính xách tay, hệ thống NUC và máy tính All-in-One.
ASUS đã phát hành các phiên bản vá lỗi để khắc phục vấn đề. Người dùng cần cập nhật lên các phiên bản sau đây ngay lập tức:
- (Thông tin phiên bản cụ thể không được cung cấp trong văn bản gốc, người dùng cần kiểm tra trang tư vấn bảo mật của ASUS)
Cách Xác Minh Phiên Bản MyASUS
Để xác minh phiên bản MyASUS hiện tại đã cài đặt, người dùng có thể thực hiện theo các bước sau:
- Mở ứng dụng MyASUS.
- Chọn mục Settings (Cài đặt).
- Nhấp vào About (Thông tin) để xem thông tin phiên bản.
Khuyến Nghị Cập Nhật Bảo Mật
ASUS khuyến cáo tất cả người dùng áp dụng bản vá bảo mật này càng sớm càng tốt. Bản cập nhật có thể được lấy thông qua Windows Update, hệ thống sẽ tự động phân phối bản vá cho các hệ thống đủ điều kiện. Bạn có thể tìm thêm thông tin chi tiết trên trang tư vấn bảo mật của ASUS tại ASUS Security Advisory.
Các tổ chức đang sử dụng thiết bị ASUS trên mạng của mình nên ưu tiên triển khai bản vá bảo mật này. Điều này rất quan trọng do mức độ nghiêm trọng cao của lỗ hổng và nguy cơ bị tấn công leo thang đặc quyền.
Các đội ngũ bảo mật cũng cần theo dõi hệ thống để phát hiện bất kỳ hoạt động đáng ngờ nào. Các hoạt động này có thể là dấu hiệu của việc cố gắng khai thác lỗ hổng CVE.
