Одитът на сигурността на операционната система QTS, използвана в NAS продуктите на QNAP разкри 15 уязвимости с различна степен на сериозност. Забележително е, че 11 от тях все още не са отстранени.
Сред откритите проблеми се откроява CVE-2024-27130 – уязвимост при препълване на буфера на стека във функцията „No_Support_ACL“ на скрипта „share.cgi“, която позволява на атакуващия да изпълни отдалечен код при определени условия.
QNAP е отговорила на докладите за уязвимост с многобройни закъснения и към момента е отстранила само 4 от 15 открити проблема. Това се случва въпреки факта, че компанията е била информирана за повечето от уязвимостите още през декември 2023 година и януари тази година.
Пропуските в сигурността са открити от WatchTowr Labs (експертен център в областта на офанзивната сигурност), които публикуваха пълни подробности за своите констатации, както и PoC експлойт за CVE-2024-27130.
Експертите са установили, че уязвимостите са свързани основно с изпълнение на код, препълване на буфера, повреждане на паметта, заобикаляне на удостоверяването и XSS проблеми. Това компрометира сигурността на NAS устройствата в различни среди за внедряване.
Гореспоменатите уязвимости засягат QTS, операционната система за NAS на устройствата на QNAP, QuTScloud, версия на QTS, оптимизирана за виртуални машини, и QTS hero, специална версия, фокусирана върху високата производителност.
Отговорът на QNAP
QNAP поправи CVE-2023-50361 до CVE-2023-50364 в актуализация на сигурността, пусната през април във версиите QTS 5.1.6.2722 build 20240402 и по-нови и QTS hero h5.1.6.2734 build 20240414 и по-нови.
Всички останали уязвимости, открити от WatchTowr досега някак си са били пренебрегвани, за което експертите активно критикуват компанията.
Междувременно най-сериозната уязвимост (CVE-2024-27130) се причинява от несигурното използване на функцията „strcpy“ във функцията „No_Support_ACL“. Тази функция се използва от заявката „get_file_size“ в скрипта „share.cgi“ при споделяне на мултимедийни файлове с външни потребители.
Нападател може да създаде злонамерена заявка чрез специално генериран параметър „name“, което води до препълване на буфера и изпълнение на отдалечен код. За да експлоатира уязвимостта, нападателят се нуждае от валиден SSID параметър, който се генерира по време на споделяне на файлове от потребителя на NAS устройството на QNAP.
Този параметър е включен в URL връзката, създадена на устройството по време на обмена и нападателят може да използва социално инженерство, за да го получи. Освен това понякога потребителите просто споделят тези връзки онлайн, което прави възможно намирането им чрез обикновено търсене в Google.
Въпреки, че CVE-2024-27130 не е лесна за използване, стойността на SSID параметъра може да бъде получена, ако нападателят е достатъчно настойчив. Както беше отбелязано по-горе, WatchTowr публикува експлойта в GitHub, където също така показа как да се създаде акаунт в устройство QNAP и да се повишат привилегиите му.
QNAP все още не е предоставила коментар по отношение на техническия доклад на WatchTowr Labs и твърденията за бавна реакция при отстраняването на уязвимостите.
На администраторите се препоръчва редовно да актуализират системите си, за да намалят риска от експлоатиране на тези и други уязвимости.
Всичко важно от света на технологиите, директно в пощата ти.
С абонирането приемате нашите Условия и Политика за поверителност. Може да се отпишете с един клик по всяко време.
Коментирайте статията в нашите Форуми. За да научите първи най-важното, харесайте страницата ни във Facebook, и ни последвайте в Google Новини, TikTok, Telegram и Viber или изтеглете приложението на Kaldata.com за Android, iPhone, Huawei, Google Chrome, Microsoft Edge и Opera!
