Eye Security deckt kritische Schwachstelle im ASUS Control Center auf

Das Cybersicherheitsunternehmen Eye Security hat eine kritische Schwachstelle in der Verwaltungssoftware ASUS Control Center gefunden. Ein KI-Agent lieferte dabei wichtige Hinweise, doch erst Mitarbeiter des Unternehmens erkannten, wie die Einzelteile zusammenhängen und welche Gefahr daraus entsteht. Der Hersteller ASUS hat inzwischen ein Sicherheitsupdate veröffentlicht, betroffen sind laut Herstellerangaben die Versionen 4.0.0.2 und älter. Eye Security beschreibt den Fall als Beispiel dafür, wie KI die Analyse komplexer Software beschleunigt und an welchen Stellen menschliche Erfahrung weiterhin entscheidend bleibt.

Wenn die Verwaltungssoftware zum Einfallstor wird

Mit ASUS Control Center können Unternehmen Computer und Server zentral verwalten und Software auf verbundenen Geräten installieren. Statt jedes Gerät einzeln zu betreuen, laufen Verwaltung und Softwareverteilung über eine einzige Stelle. Wer diese Schaltstelle kontrolliert, kann im Zweifel auch die angeschlossenen Rechner steuern, Programme austauschen und Einstellungen verändern. Ein Erfolg an dieser Stelle wirkt sich deshalb nicht auf ein einzelnes System aus, sondern auf alles, was mit der Verwaltung verbunden ist.

Eye Security zeigte in einer Testumgebung, dass sich eine verwundbare Installation unter bestimmten Voraussetzungen übernehmen ließ. Von dort aus hätten Angreifer nach Einschätzung des Unternehmens möglicherweise Schadsoftware auf die verwalteten Geräte bringen können, etwa Erpressungssoftware oder eine Hintertür für spätere Angriffe. Das Unternehmen weist zugleich darauf hin, dass der Nachweis in einer kontrollierten Umgebung gelang und keine Hinweise auf eine Ausnutzung der Lücke in der Praxis vorliegen.

Drei Schwächen ergeben eine Angriffskette

Technisch beruhte der Angriff auf dem Zusammenspiel mehrerer Schwächen, die für sich genommen weniger weit gereicht hätten. Ein ohne Anmeldung erreichbarer Endpunkt gab einen Verschlüsselungsschlüssel preis. Mit diesem Schlüssel ließ sich auf eine Guacamole-Komponente zugreifen, über die Verbindungen zu anderen Systemen aufgebaut werden können. Die Komponente wurde damit zum Scharnier, über das der Angriff über die eigentliche Anwendung hinausreichte.

Eye Security zeigte, dass darüber eine SSH-Verbindung zum Control Center selbst möglich war, obwohl dessen SSH-Dienst von außen durch eine Firewall abgeschirmt war. Der abschließende Baustein war ein fest hinterlegter, verschlüsselter Root-Passwort-Hash. Er ließ sich mithilfe einer von der KI generierten Wortliste knacken und ermöglichte den Zugriff mit Root-Rechten. Der Schutz am Netzrand allein reichte also nicht aus, um den Zugriff zu unterbinden.

In der Testumgebung konnte das Team auf diesem Weg Befehle auf dem System ausführen. Die Schwachstellenkette wird unter CVE-2026 75754 geführt und ist mit CVSS 10.0 bewertet, dem höchsten Schweregrad. Nach Darstellung von Eye Security entfaltete die Lücke ihre Wirkung erst im Zusammenspiel der drei Schwächen. Auffällig ist der letzte Schritt: Die Wortliste zum Knacken des Passwort-Hashs stammte aus einer KI. Damit zeigt sich, dass KI in der Sicherheitsforschung nicht nur bei der Suche nach Schwachstellen eine Rolle spielt, sondern auch beim Ausnutzen einer gefundenen Lücke.

Die KI fand Hinweise, Menschen erkannten den Weg

Für die Untersuchung nutzte Eye Security einen KI-Agenten und einen selbst entwickelten, zwölfstufigen Forschungsprozess namens „Kitten“. Der Agent analysierte die Software und fand mehrere Bausteine der Angriffskette. Wie sie sich verbinden ließen, erkannte er zunächst nicht. Erst durch die fachliche Anleitung der Mitarbeiter konnte die Analyse fortgesetzt und der mögliche Angriff vollständig nachgewiesen werden.

Der Agent lieferte damit Spuren statt einer fertigen Angriffskette. Die Mitarbeiter mussten einschätzen, welche Fundstellen zusammengehören und welche sich tatsächlich praktisch ausnutzen lassen. Genau in dieser Bewertung liegt nach Darstellung von Eye Security der Unterschied zwischen einem Hinweis und einem belegten Risiko. Der zwölfstufige Prozess „Kitten“ diente dabei als feste Struktur, damit die vom KI-Agenten gesammelten Beobachtungen nicht ungeprüft blieben.

Eye Security beschreibt daraus abgeleitet den eigenen Ansatz: KI kann die Untersuchung komplexer Software beschleunigen, die Bewertung der Ergebnisse bleibt jedoch Aufgabe von Menschen mit Erfahrung in der Cybersicherheit. Sie erkennen Zusammenhänge und prüfen, ob aus einem Verdacht ein tatsächliches Risiko wird. Diese Zusammenarbeit führte hier zum Fund, den das Unternehmen anschließend an ASUS meldete.

Betroffen sind die Versionen 4.0.0.2 und älter

Laut ASUS sind die Versionen 4.0.0.2 und älter betroffen, der Hersteller hat ein Sicherheitsupdate veröffentlicht. Eye Security stellte nach eigenen Angaben keine flächendeckende Verbreitung von Instanzen fest, die ungeschützt aus dem Internet erreichbar waren. Wie viele Unternehmen ASUS Control Center insgesamt einsetzen, lässt sich daraus nicht ableiten, denn die Zahl offen erreichbarer Systeme sagt nichts über die Gesamtzahl der Installationen aus. Hinweise auf eine Ausnutzung der Schwachstelle lagen nicht vor.

KI senkt die Hürde für die Suche nach Sicherheitslücken

Eye Security warnt unabhängig von diesem Fall vor einer wachsenden Gefahr. KI-Systeme senken nach Einschätzung des Unternehmens die Einstiegshürde für die Suche nach Schwachstellen, und das gilt auch für Angreifer. Erst kürzlich wurden Schwachstellen in PaperCut und N-able als Zero-Day-Lücken ausgenutzt, also bevor ein Patch zur Verfügung stand. Unternehmen sollten deshalb davon ausgehen, dass Sicherheitslücken künftig häufiger entdeckt werden, bevor ein Update bereitsteht.

Für Betriebe verändert sich damit das Zeitfenster, in dem sie auf Sicherheitslücken reagieren können. Bleibt weniger Zeit bis zum Patch, sinken auch die Möglichkeiten, Systeme vorher zu prüfen und abzusichern. Eye Security leitet daraus die Empfehlung ab, die eigene Angriffsfläche nicht nur im akuten Fall zu betrachten, sondern konsequent zu begrenzen.

Organisationen, die ASUS Control Center einsetzen, sollten ihre installierte Version prüfen und das von ASUS bereitgestellte Sicherheitsupdate einspielen. Weitere Informationen finden sich in der technischen Analyse von Eye Security und in der Sicherheitsmeldung von ASUS unter dem Titel „Security Update for ASUS Control Center“.