華碩於週末針對DriverHub釋出安全更新，解決主機板驅動程式管理軟體DriverHub二個漏洞。

編號CVE-2025-3462及CVE-2025-3463的漏洞。 兩項漏洞是由代號Bruh的安全研究人員發現並通報 ，可讓攻擊者遠端濫用執行程式碼。

DriverHub為華碩驅動程式管理工具，它在主機板上以背景程式執行，連接華碩網站（在此為driverhub.asus.com）以持續安裝驅動程式更新。DriverHub使用RPC，外部網站可以藉此發送API呼叫，和本地端服務互動。但是往往使用者並未意會到該程式的執行。

CVE-2025-3462指涉DriverHub欠缺嚴謹安全檢查，讓未授權攻擊者發送惡意HTTP呼叫和本地端軟體功能互動。CVE-2025-3463則是DriverHub對外部發送的呼叫請求檢查不周全，而透過惡意HTTP呼叫影響系統。 CVE-2025-3462 及 CVE-2025-3463 風險值分別為CVSS 8.4及9.4。

研究人員説明，DriverHub只檢查呼叫請求的origin header是否包含driverhub.asus.com而不是精確比對。寬鬆的檢查讓攻擊者可以透過子網域名或類似名稱（如driverhub.asus.com.mrbruh.com）繞過驗證，發送惡意RPC請求。

在其PoC測試中，研究人員從driverhub.asus.com.mrbruh.com網址上傳合法簽發的AsusSetup.exe安裝程式，外加惡意執行檔及.ini檔。等用户訪問該網站時，網站會向DriverHub的本地服務發送UpdateApp請求。此時即可透過二個漏洞冒充華碩網站，進而將惡意程式下載到用户電腦設備上。而後，具備管理員權限AsusSetup.exe執行安裝惡意程式。

華碩除了發布更新軟體修補兩項漏洞，也説明漏洞隻影響主機板，並不影響筆電、桌機和其他端點裝置。要接受更新軟體，開啟華碩DriverHub點擊Update Now即可。