Η QNAP κυκλοφόρησε ενημερώσεις ασφαλείας για την αντιμετώπιση QTS ευπαθειών που θα μπορούσαν να επιτρέψουν σε επιτιθέμενους να πάρουν τον έλεγχο μη ενημερωμένων συσκευών NAS.
Οι οκτώ ευπάθειες που διορθώθηκαν από τις ενημερώσεις της QNAP επηρεάζουν όλες τις συσκευές QNAP NAS που εκτελούν ευάλωτο λογισμικό.
Πρόκειται για command injection και cross-site scripting (XSS) σφάλματα και κάποια από αυτά θεωρούνται πολύ σοβαρά.
Οι ευπάθειες XSS θα μπορούσαν να επιτρέψουν την εισαγωγή κακόβουλου κώδικα σε εκδόσεις ευάλωτων εφαρμογών σε QNAP NAS συσκευές.
Chatbot ενθάρρυνε έφηβο να σκοτώσει τους γονείς του
RT-G: Ένα... αστυνομικό ρομπότ στην Κίνα!
Το Black Basta Ransomware εξελίσσεται - Προσοχή!
Από την άλλη, οι command injection ευπάθειες επιτρέπουν στους επιτιθέμενους να αποκτήσουν περισσότερα δικαιώματα στις QNAP NAS συσκευές, να εκτελέσουν εντολές στη συσκευή ή την εφαρμογή που έχει παραβιαστεί και να πάρουν τον έλεγχο του λειτουργικού συστήματος.
OS command injection και cross-site scripting
Η QNAP διόρθωσε τα XSS σφάλματα CVE-2020-2495, CVE-2020-2496, CVE-2020-2497 και CVE-2020-2498, καθώς και το command injection CVE-2019-7198 σε αυτές τις εκδόσεις των QTS και QuTS hero:
- QuTS hero h4.5.1.1472 build 20201031 και μεταγενέστερες εκδόσεις
- QTS 4.5.1.1456 build 20201015 και μεταγενέστερες εκδόσεις
- QTS 4.4.3.1354 build 20200702 και μεταγενέστερες εκδόσεις
- QTS 4.3.6.1333 build 20200608 και μεταγενέστερες εκδόσεις
- QTS 4.3.4.1368 build 20200703 και μεταγενέστερες εκδόσεις
- QTS 4.3.3.1315 build 20200611 και μεταγενέστερες εκδόσεις
- QTS 4.2.6 build 20200611 και μεταγενέστερες εκδόσεις
Ο κατασκευαστής NAS συσκευών προτρέπει τους πελάτες να ενημερώσουν τα συστήματά τους άμεσα για να προστατευτούν από πιθανές επιθέσεις.
Για να εγκαταστήσετε τα QTS και QuTS hero security updates στη συσκευή QNAP NAS, ακολουθήστε αυτήν τη διαδικασία:
- Συνδεθείτε στο QTS ή στο QuTS hero ως διαχειριστής.
- Μεταβείτε στον Πίνακα Ελέγχου> Σύστημα> Ενημέρωση Firmware.
- Στην ενότητα Live Update, κάντε κλικ στην επιλογή Έλεγχος για ενημέρωση.
Έτσι, το QTS ή QuTS hero θα κατεβάσει και θα εγκαταστήσει την τελευταία διαθέσιμη ενημέρωση.
Η QNAP διόρθωσε, επίσης, XSS σφάλματα που επηρεάζουν το Music Station (CVE-2020-2494), το Multimedia Console (CVE-2020-2493) και το Photo Station (CVE-2020-2491).
Για να ενημερώσετε τις εφαρμογές ακολουθήστε την παρακάτω διαδικασία:
- Συνδεθείτε στο QTS ως διαχειριστής.
- Ανοίξτε το Κέντρο εφαρμογών και, στη συνέχεια, κάντε κλικ και πληκτρολογήστε το όνομα της εφαρμογής στο πλαίσιο αναζήτησης.
- Κάντε κλικ στην Ενημέρωση. Εμφανίζεται ένα μήνυμα επιβεβαίωσης.
- Κάντε κλικ στο OK.
Έτσι, θα γίνει η ενημέρωση της εφαρμογής. Αν χρησιμοποιείτε ήδη την τελευταία διαθέσιμη ενημέρωση, δεν θα υπάρχει η επιλογή “Ενημέρωση”.
Οι QNAP NAS συσκευές βρίσκονται συχνά στο στόχαστρο των hackers
Οι εγκληματίες του κυβερνοχώρου δεν χάνουν την ευκαιρία να εκμεταλλευτούν μια ευπάθεια σε QNAP NAS συσκευές. Αυτό συμβαίνει γιατί αυτές οι συσκευές χρησιμοποιούνται, συνήθως, για δημιουργία αντιγράφων ασφαλείας και κοινή χρήση αρχείων. Επομένως, είναι χρήσιμες για εγκληματίες που στοχεύουν στην κλοπή ευαίσθητων εγγράφων ή στην εγκατάσταση malware payloads.
Τον Σεπτέμβριο, η QNAP είχε προειδοποιήσει για επιθέσεις που στόχευαν εκτεθειμένες συσκευές NAS με το AgeLocker ransomware.
Το καλοκαίρι, είχαν εντοπιστεί και επιθέσεις με το eCh0raix ransomware.
Σε μια έκθεση του Αυγούστου, μια εταιρεία ασφαλείας είχε πει ότι οι hackers έψαχναν για ευάλωτες QNAP NAS συσκευές και προσπαθούσαν να εκμεταλλευτούν μια RCE ευπάθεια, που είχε διορθωθεί από την QNAP τον Ιούλιο του 2017.
Τέλος, τον Οκτώβριο, η εταιρεία είπε ότι ορισμένες εκδόσεις του λειτουργικού συστήματος QTS επηρεάζονται από την κρίσιμη ευπάθεια των Windows, ZeroLogon (CVE-2020-1472).
Πηγή: Bleeping Computer