最近の脆弱性 › CVE-2025-59374
ASUS Live Update の脆弱性（CVE-2025-59374）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2025-59374 |
|---|---|
| 製品 | ASUS Live Update |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-12-17 |
| 米国政府機関の対応期限 | 2026-01-07 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-506 |
何が起きた
ASUS の Live Update（ソフトを更新するためのツール）の一部のバージョンが、配布の途中で何者かに手を加えられた状態で配られていました（サプライチェーン攻撃）。改ざんされた版は、特定の条件に当てはまる機器でだけ、意図しない動きをするようになっていました。実際に悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
改ざんされた版の Live Update を入れていて、条件に当てはまった機器だけが影響を受けました。ASUS が登録した CVE の記録では、3.6.6 より前の版が対象です。Live Update は 2021年10月にサポートが終わっており、現在サポートされている機器や製品は影響を受けないとされています。
何をすればいい
Live Update はサポートが終わっているため、使い続けず、使用をやめてください。CISA も、この製品の使用をやめるよう求めています。あわせて公式の案内を確認してください。
やることチェックリスト
- Live Update の使用をやめる
- パソコンに Live Update が残っているか確認する
- 3.6.6より前の版が入っていないか確認する
用語メモ
- サプライチェーン攻撃
- 製品やソフトが利用者に届くまでの途中（開発や配布）に入り込んで、不正な仕掛けを混ぜる攻撃です。
- 改ざん
- データやプログラムを、許可なく書き換えることです。
元データ（英語・CISA KEV より）
ASUS Live Update Embedded Malicious Code Vulnerability
概要
ASUS Live Update contains an embedded malicious code vulnerability client were distributed with unauthorized modifications introduced through a supply chain compromise. The modified builds could cause devices meeting specific targeting conditions to perform unintended actions. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.