Открити са 15 уязвимости в сигурността на NAS продуктите на QNAP
Одитът на сигурността на операционната система QTS, употребена в NAS продуктите на QNAP разкри 15 уязвимости с друга степен на съвестност. Забележително е, че 11 от тях към момента не са отстранени.
Сред откритите проблеми се откроява CVE-2024-27130 – накърнимост при препълване на буфера на стека във функционалността „ No_Support_ACL “ на скрипта „ share.cgi “, която разрешава на атакуващия да извърши далечен код при избрани условия.
QNAP е дала отговор на отчетите за накърнимост с многочислени закъснения и все още е отстранила единствено 4 от 15 открити казуса. Това се случва макар обстоятелството, че компанията е била осведомена за множеството от уязвимостите още през декември 2023 година и януари тази година.
Пропуските в сигурността са открити от WatchTowr Labs (експертен център в региона на офанзивната сигурност), които разгласиха цялостни детайлности за своите констатации, както и PoC експлойт за CVE-2024-27130.
Експертите са открили, че уязвимостите са свързани главно с осъществяване на код, препълване на буфера, разваляне на паметта, заобикаляне на удостоверяването и XSS проблеми. Това компрометира сигурността на NAS устройствата в разнообразни среди за внедряване.
Гореспоменатите уязвимости засягат QTS, операционната система за NAS на устройствата на QNAP, QuTScloud, версия на QTS, усъвършенствана за виртуални машини, и QTS hero, специфична версия, фокусирана върху високата продуктивност.
Отговорът на QNAP
QNAP поправи CVE-2023-50361 до CVE-2023-50364 в актуализация на сигурността, пусната през април във версиите QTS 5.1.6.2722 build 20240402 и по-нови и QTS hero h5.1.6.2734 build 20240414 и по-нови.
Всички останали уязвимости, открити от WatchTowr до момента някак си са били подценявани, за което специалистите интензивно подлагат на критика компанията.
Междувременно най-сериозната накърнимост (CVE-2024-27130) се предизвиква от несигурното потребление на функционалността „ strcpy “ във функционалността „ No_Support_ACL “. Тази функционалност се употребява от поръчката „ get_file_size “ в скрипта „ share.cgi “ при шерване на мултимедийни файлове с външни консуматори.
Нападател може да сътвори злонамерена поръчка посредством особено генериран параметър „ name “, което води до препълване на буфера и осъществяване на далечен код. За да експлоатира уязвимостта, нападателят се нуждае от годен SSID параметър, който се генерира по време на шерване на файлове от потребителя на NAS устройството на QNAP.
Този параметър е включен в URL връзката, основана на устройството по време на обмена и нападателят може да употребява обществено инженерство, с цел да го получи. Освен това от време на време потребителите просто споделят тези връзки онлайн, което прави допустимо намирането им посредством нормално търсене в Гугъл.
Въпреки, че CVE-2024-27130 не е лесна за потребление, цената на SSID параметъра може да бъде получена, в случай че нападателят е задоволително неотстъпчив. Както беше маркирано нагоре, WatchTowr разгласява експлойта в GitHub, където също по този начин сподели по какъв начин да се сътвори акаунт в устройство QNAP и да се покачат привилегиите му.
QNAP към момента не е предоставила коментар във връзка с техническия отчет на WatchTowr Labs и изказванията за мудна реакция при отстраняването на уязвимостите.
На админите се предлага постоянно да актуализират системите си, с цел да понижат риска от експлоатиране на тези и други уязвимости.
