Dauerhaft ausgenutzt KEV-Katalog Ohne Anmeldung

CVE-2025-59374

ASUS Live Update Embedded Malicious Code Vulnerability

CheckOps-Prioritätsindex

5,6/10 Binnen 7 Tagen patchen

Schweregrad9,3

Wahrscheinlichkeit0,1

Ausnutzung3/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 1,2 % höher als 68,1 % aller CVE

CVSS 4.0 9,3 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/

Ausgenutzt seit 321 Tagen 17.12.2025

CISA-Frist 07.01.2026 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 3 / 5

KEV-Katalog (CISA)17.12.2025
In der EUVD ausgenutzt (ENISA)17.12.2025
Von Ransomware genutztnein
EPSS über 10 %1,2 %
Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

"UNSUPPORTED WHEN ASSIGNED" Certain versions of the ASUS Live Update client were distributed with unauthorized modifications introduced through a supply chain compromise. The modified builds could cause devices meeting specific targeting conditions to perform unintended actions. Only devices that met these conditions and installed the compromised versions were affected. The Live Update client has already reached End-of-Support (EOS) in October 2021, and no currently supported devices or products are affected by this issue.

Text der Quelle, auf Englisch.

Betroffene Produkte

live updateLive Update

Betroffene Versionen

before 3.6.6

Schwächen (CWE)

CWE-506

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

17.12.2025
Veröffentlichung
17.12.2025
Ausnutzung gemeldet (ENISA)
17.12.2025
Aufnahme in den KEV-Katalog
07.01.2026
CISA-Frist zur Behebung

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2023-39780ASUS RT-AX55 Routers OS Command Injection Vulnerability
6,5 · Dauerhaft ausgenutzt
CVE-2021-32030ASUS Routers Improper Authentication Vulnerability
9,3 · Dauerhaft ausgenutzt