Vulnerabilidad en ASUS Control Center permite a atacantes obtener control total de administrador sobre los sistemas afectados

ASUS ha publicado una actualización de seguridad urgente para ASUS Control Center Enterprise (ACC) después de que los investigadores descubrieran una vulnerabilidad de máxima gravedad que permite a los atacantes remotos tomar el control administrativo completo de la plataforma y de todos los dispositivos que gestiona, sin necesidad de una contraseña ni de ninguna interacción con el usuario. Seguido como CVE-2026-75754, la falla tiene una puntuación CVSS 4.0 de 10.0, la calificación más alta posible, lo que refleja la facilidad con la que se puede explotar en una red y el alcance catastrófico de lo que un atacante puede lograr una vez dentro.

Vulnerabilidad del Centro de Control ASUS La vulnerabilidad en realidad proviene de una cadena de tres debilidades separadas que trabajan juntas. A ASUS Control Center le falta la autenticación en una función crítica, lo que significa que cualquier persona que pueda acceder al servicio a través de la red puede activar ciertas operaciones confidenciales. Esa brecha se ve agravada por una falla de falsificación de solicitudes del lado del servidor, que permite a un atacante enviar una solicitud HTTP especialmente diseñada para engañar al sistema para que exponga su propia clave de cifrado. La última pieza de la cadena es posiblemente la más dañina: ASUS Control Center contiene credenciales codificadas integradas en el propio software.

Los atacantes que obtienen la clave de cifrado pueden usar estas credenciales fijas para iniciar sesión directamente en el puerto SSH recién abierto y obtener un shell root completo, el nivel más alto de acceso al sistema disponible en la máquina. La falla afecta a todas las versiones de ASUS Control Center Enterprise hasta 4.0.0.2 inclusive.

Consultar publicación original ↗