Asus DriverHub中曾經存在容易受到攻擊的缺陷 不過現已修復

華碩在系統中預先安裝的 DriverHub 管理實用程式中被發現了一個重大安全漏洞，該漏洞允許任何人在安裝了該實用程式的系統上輕鬆運行惡意代碼。工程師 MrBruh 最初發現了這個漏洞，表示 DriverHub 可以被欺騙以在沒有使用者通知的情況下運行任何類型的惡意內容。

該漏洞圍繞在其安全措施過於簡陋，這款應用程式連接到預定義埠上的 API 請求，不過只要送入的請求使用的 URL 最結尾包含了 driverhub.asus.com，這個請求就可以被接受(發現問題的 MrBruh 舉了個例子，像是 driverhub.asus.com.mrbruh.com 這樣的 URL 也可以被接受)。
更糟糕的是，通過欺騙性 URL 下載的任何檔都不會被刪除，即使它們未通過應用程式的簽名檢查。這就是攻擊變得致命的地方，因為從攻擊者那裡下載的檔仍然存在，並且可以在系統上啟動。
好消息是華碩已經通過更新 DriverHub 實用程式修復了安全漏洞。華碩在 4 月 18 日實施了更新，因此目前安裝的 DriverHub 都會是安全的。

消息來源
MrBruh的部落格