Máte zařízení NAS od společnosti QNAP? Aktualizujte jej a opravte tak kritické bezpečnostní chyby

Zranitelnost je sledována jako CVE-2022-27596 a má hodnocení 9,8 z maximálně 10 na stupnici hodnocení CVSS. Útočník může tuto zranitelnost zneužít vzdáleně k vložení a spuštění vlastního škodlivého kódu. Chybu je možno na zranitelném zařízení snadno zneužít bez interakce s uživatelem nebo bez uživatelského účtu.

Přesná technická specifika týkající se chyby nejsou jasné, ale NIST National Vulnerability Database (NVD) ji kategorizovala jako chybu zabezpečení SQL injection. To znamená, že útočník by mohl posílat speciálně vytvořené dotazy SQL, které by mohly být zneužity k obcházení bezpečnostních kontrol a přístupu nebo pozměňování cenných informací.

Společnost doporučuje zákazníkům s ovlivněnými zařízeními (se systémem QTS 5.0.1 a QuTS hero h5.0.1), aby upgradovali na QTS 5.0.1.2234 sestavení 20221201 nebo QuTS hero h5.0.1.2248 sestavení 20221215 nebo novější. Přestože společnost QNAP neoznačila tuto chybu za aktivně využívanou ve volné přírodě, zákazníkům se doporučuje co nejdříve aktualizovat na nejnovější dostupnou verzi softwaru, protože zařízení NAS mají dlouhou historii s ransomwarovými útoky.

Chcete-li aktualizovat své zařízení, musíte se přihlásit jako uživatel správce, přejít na „Ovládací panely → Systém → Aktualizace firmwaru“, kliknout na možnost „Zkontrolovat aktualizace“ v části „Automatická aktualizace“ a počkat až stažení a instalace budou kompletní.

Jeden den poté, co společnost QNAP vydala bezpečnostní aktualizace, které řeší tuto kritickou zranitelnost, zveřejnili bezpečnostní výzkumníci Censys zprávu, která odhaluje, že bylo opraveno jen něco málo přes 550 z více než 60 000 zařízení QNAP NAS, která našli online.

https://thehackernews.com/2023/01/qnap-fixes-critical-vulnerability-in.html

https://www.root.cz/zpravicky/qnap-opravuje-kritickou-zranitelnost-ohrozujici-jeji-nas/?utm_source=newsletter-html-d&utm_medium=text&utm_campaign=2023-02-01

https://www.bleepingcomputer.com/news/security/over-29-000-qnap-devices-vulnerable-to-code-injection-attacks/