QNAP remediază vulnerabilități din software-ul NAS și router

QNAP a publicat la sfârșitul săptămânii buletine de securitate care abordează mai multe vulnerabilități, inclusiv trei erori critice pe care utilizatorii ar trebui să le remedieze cât mai curând posibil.

Începând cu QNAP Notes Station 3, o aplicație de luat notițe și colaborare utilizată în sistemele NAS, aceasta este afectată de următoarele două vulnerabilități:

CVE-2024-38643, scor CvSS: 9.3/10 – Lipsa autentificării pentru funcții critice ar putea permite atacatorilor de la distanță să obțină acces neautorizat și să execute funcții specifice ale sistemului.

CVE-2024-38645, scor CvSS: 9.4/10 – Vulnerabilitatea SSRF (Server-side request forgery) care ar putea permite atacatorilor de la distanță ce dețin credențiale de autentificare să trimită cereri malițioase ce manipulează comportamentul server-side, expunând date sensibile ale aplicației.

QNAP a remediat aceste probleme în Notes Station 3 versiunea 3.9.7 și recomandă utilizatorilor să actualizeze la această versiune sau la o versiune ulterioară pentru a reduce riscul.

Celelalte două vulnerabilități enumerate, CVE-2024-38644 și CVE-2024-38646, au un grad de severitate high (scoruri CvSS de 8.7/10 și 8.4/10) și sunt erori de injectare de comenzi și acces neautorizat la date ce necesită acces la nivel de utilizator pentru a fi exploatate.

A treia vulnerabilitate critică pe care QNAP a remediat-o sâmbătă este CVE-2024-48860, ce afectează produsele QuRouter 2.4.x, linia QNAP de routere de mare viteză.

Vulnerabilitatea, cu scor CvSS de 9,5/10, este o eroare de injectare a comenzilor sistemului de operare ce ar putea permite atacatorilor de la distanță să execute comenzi pe sistemul gazdă.

QNAP a remediat, de asemenea, o a doua vulnerabilitate mai puțin severă, de injectare de comenzi, identificată drept CVE-2024-48861, ambele fiind remediate în versiunea 2.4.3.106 a QuRouter.

Alte produse care au primit remedieri importante sunt QNAP AI Core (motor AI), QuLog Center (instrument de gestionare a jurnalelor), QTS (sistem de operare standard pentru dispozitive NAS) și QuTS Hero (versiune avansată a QTS).

Clienții QNAP sunt sfătuiți să instaleze actualizările cât mai curând posibil pentru a rămâne protejați împotriva potențialelor atacuri.

Ca întotdeauna, dispozitivele QNAP nu ar trebui să fie niciodată conectate direct la internet și ar trebui să fie implementate în spatele unui VPN pentru a preveni exploatarea de la distanță a vulnerabilităților.

Sursă: https://www.bleepingcomputer.com/news/security/qnap-addresses-critical-flaws-across-nas-router-software/