Ένας έλεγχος του QNAP QTS, του λειτουργικού συστήματος για τα προϊόντα NAS της εταιρείας, αποκάλυψε δεκαπέντε ευπάθειες, με έντεκα από αυτές να μην έχουν διορθωθεί.
Οι αναφορές των ευπαθειών υποβλήθηκαν μεταξύ 12 Δεκεμβρίου 2023 και 23 Ιανουαρίου 2024 και η εταιρεία έχει επιδιορθώσει μόνο τέσσερα σφάλματα μέχρι στιγμής.
Μια από τις ευπάθειες που δεν έχει διορθωθεί, είναι η CVE-2024-27130 στο ‘No_Support_ACL’ function του ‘share.cgi’, η οποία θα μπορούσε να επιτρέψει σε έναν εισβολέα να εκτελεί απομακρυσμένη εκτέλεση κώδικα όταν πληρούνται συγκεκριμένες προϋποθέσεις.
Δείτε επίσης: Η CISA προειδοποιεί για εκμετάλλευση ευπαθειών Chrome, D-Link
Οι ευπάθειες ανακαλύφθηκαν από την WatchTowr Labs, η οποία δημοσίευσε πρόσφατα τις πλήρεις λεπτομέρειες των ευρημάτων της, καθώς και proof of concept (PoC) exploit για την ευπάθεια CVE-2024-27130.
QNAP QTS : Ποιες ευπάθειες ανακαλύφθηκαν;
Οι αναλυτές της WatchTowr βρήκαν τις ευπάθειες στο λειτουργικό σύστημα QTS των QNAP NAS συσκευών και παρατήρησαν ότι αυτές σχετίζονται κυρίως με εκτέλεση κώδικα, buffer overflows, καταστροφή της μνήμης, παράκαμψη ελέγχου ταυτότητας και ζητήματα XSS.
Όπως αναφέραμε και παραπάνω, εντοπίστηκαν 15 ευπάθειες στο QNAP QTS:
CVE-2023-50361: Μη ασφαλής χρήση του sprintf στο getQpkgDir.
CVE-2023-50362: Μη ασφαλής χρήση SQLite functions, προσβάσιμων μέσω της παραμέτρου addPersonalSmtp στο userConfig.cgi.
CVE-2023-50363: Επιτρέπει την απενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων για αυθαίρετους χρήστες.
CVE-2023-50364: Heap overflow μέσω μεγάλου directory name, όταν η λίστα αρχείων προβάλλεται από τη συνάρτηση get_dirs του privWizard.cgi.
CVE-2024-21902: Ο έλεγχος ταυτότητας που λείπει επιτρέπει σε όλους τους χρήστες να προβάλλουν ή να διαγράφουν αρχεία καταγραφής συστήματος και να εκτελούν πρόσθετες ενέργειες.
CVE-2024-27127: double-free στο utilRequest.cgi μέσω της συνάρτησης delete_share.
CVE-2024-27128: Stack overflow στη λειτουργία check_email, προσβάσιμη μέσω των ενεργειών share_file και send_share_mail του utilRequest.cgi.
CVE-2024-27129: Μη ασφαλής χρήση του strcpy στη συνάρτηση get_tree του utilRequest.cgi.
CVE-2024-27130: Μη ασφαλής χρήση του strcpy στο No_Support_ACL, προσβάσιμο από τη συνάρτηση get_file_size του share.cgi.
CVE-2024-27131: Επιτρέπει στους χρήστες να προκαλούν την εγγραφή λήψεων, όπως ζητείται από αυθαίρετα source locations.
WT-2023-0050: Υπό εκτεταμένο εμπάργκο λόγω ενός απροσδόκητα περίπλοκου ζητήματος.
WT-2024-0004: Stored XSS μέσω απομακρυσμένων μηνυμάτων καταγραφής συστήματος.
WT-2024-0005: Stored XSS μέσω remote device discovery.
WT-2024-0006: Έλλειψη rate-limiting στο API ελέγχου ταυτότητας.
WT-2024-00XX: Υπό εμπάργκο 90 ημερών σύμφωνα με το VDP.
Τα παραπάνω σφάλματα επηρεάζουν το QNAP QTS, το QuTScloud, τη VM-optimized version του QTS και το QTS hero.
Δείτε επίσης: Ευπάθεια Wi-Fi επιτρέπει την παρακολούθηση διαδικτυακών κινήσεων των χρηστών
Η QNAP διόρθωσε τα CVE-2023-50361 έως CVE-2023-50364 τον Απρίλιο του 2024, στις εκδόσεις QTS 5.1.6.2722 build 20240402 και νεότερες εκδόσεις και QuTS hero h5.1.6.2734 41 και μεταγενέστερη έκδοση.
Ωστόσο, όλες οι άλλες ευπάθειες παραμένουν και θέτουν σε κίνδυνο τις συσκευές NAS. Η εταιρεία πρέπει να κυκλοφορήσει άμεσα ενημερώσεις ασφαλείας για να προστατεύσει τους χρήστες της.
Οι ενημερώσεις λoγισμικού είναι ζωτικής σημασίας για την κυβερνοασφάλεια. Περιλαμβάνουν συνήθως διορθώσεις που αποτρέπουν τους κακόβουλους χρήστες από το να εκμεταλλευτούν τις ευπάθειες και να προκαλέσουν ζημιές στο σύστημα.
Οι ενημερώσεις λογισμικού μπορεί να προσθέτουν και νέες λειτουργίες και βελτιώσεις, που μπορούν να ενισχύσουν γενικά την ασφάλεια, ανεξάρτητα από το αν υπάρχει κάποια ευπάθεια. Πολλές φορές προστίθενται μηχανισμοί ανίχνευσης και προστασίας, που βελτιώνουν την απόδοση του λογισμικού και να ενισχύουν την ανθεκτικότητα του συστήματος έναντι κυβερνοεπιθέσεων.
Οι ενημερώσεις επιτρέπουν στους χρήστες να αντιμετωπίσουν τις νέες απειλές με την εγκατάσταση των απαραίτητων προστατευτικών μέτρων.
Δείτε επίσης: Microsoft Patch Tuesday Μαΐου 2024: Διορθώνει 3 zero-day ευπάθειες
PoC exploit για την ευπάθεια CVE-2024-27130
Η ευπάθεια CVE-2024-27130 προκαλείται από την μη ασφαλή χρήση της συνάρτησης ‘strcpy’ στο No_Support_ACL function. Αυτή η συνάρτηση χρησιμοποιείται από το get_file_size request στο share.cgi script, που χρησιμοποιείται κατά την κοινή χρήση πολυμέσων με εξωτερικούς χρήστες.
Ένας εισβολέας μπορεί να δημιουργήσει ένα κακόβουλο αίτημα με μια ειδικά διαμορφωμένη παράμετρο “name”, προκαλώντας buffer overflow και τελικά απομακρυσμένη εκτέλεση κώδικα.
Ωστόσο, πρέπει να πληρούνται κάποιες προϋποθέσεις. Η ευπάθεια CVE-2024-27130 δεν είναι εύκολη στην εκμετάλλευση, ωστόσο οι αποφασισμένοι κυβερνοεγκληματίες μπορούν να την εκμεταλλευτούν.
Η WatchTowr δημοσίευσε ένα exploit στο GitHub, σχετικά με αυτή την ευπάθεια.
Πηγή: www.bleepingcomputer.com
