Descoberta e escopo
Segundo a divulgação oficial e reportagens técnicas, a falha reside no serviço ASUS System Control Interface usado pelo MyASUS para gerenciamento de hardware e utilitários. A exploração requer acesso local com privilégios baixos; contudo, a complexidade do ataque é relatada como baixa e não exige interação do usuário.
Vetor e impacto técnico
Com privilégio escalado a SYSTEM, um atacante poderia executar código arbitrário, instalar malware, acessar dados sensíveis e alterar configurações do sistema, potencialmente facilitando movimento lateral em ambientes corporativos. A gravidade abrange confidencialidade, integridade e disponibilidade do endpoint comprometido.
Dados técnicos reportados
- CVE: CVE‑2025‑59373
- CVSS 4.0: 8.5 (High), conforme reportagem técnica.
- Componente afetado: ASUS System Control Interface Service (MyASUS).
- Pré‑requisito para exploração: acesso local com privilégios baixos; sem necessidade de interação do usuário.
Mitigação e correção
A ASUS publicou versões corrigidas e recomenda que usuários apliquem a atualização imediatamente. As versões fornecidas como correção são:
- ASUS System Control Interface 3.1.48.0 para sistemas x64
- ASUS System Control Interface 4.2.48.0 para dispositivos ARM
A empresa orienta verificar a versão instalada via MyASUS → Settings → About e indica que o patch será distribuído também via Windows Update para sistemas elegíveis.
Impacto para empresas
Em ambientes corporativos com dispositivos ASUS, a vulnerabilidade exige priorização de deploys de patch, pois um endpoint comprometido com acesso local pode ser vetor para intrusão mais ampla. Equipes de segurança devem:
- Priorizar atualização via Windows Update ou distribuição interna das versões corrigidas.
- Monitorar sinais de exploração local e atividades suspeitas em endpoints ASUS.
- Aplicar controles de hardening que limitem a possibilidade de acesso local não autorizado (políticas de least privilege, autenticação forte, restrições de instalação de software).
Limites das informações
As fontes descrevem a vulnerabilidade e as versões corrigidas, mas não publicam exploit‑code público ou evidências amplas de exploração em massa no momento da divulgação. A ASUS recomenda aplicação imediata do patch; a matéria técnica não fornece um timeline de quando exploits públicos, se houver, passaram a circular.
Resumo: CVE‑2025‑59373 é uma falha de escalada de privilégios no MyASUS com impacto relevante para milhões de dispositivos ASUS; a correção já está disponível e deve ser aplicada com prioridade em ambientes com equipamentos afetados.