W kilku wersjach systemu operacyjnego QNAP (QTS, QuTS hero, QuTScloud) wykryto krytyczną podatność typu OS command injection, umożliwiającą zdalne wykonanie poleceń systemowych bez uwierzytelnienia. Podatność uzyskała maksymalny wynik CVSS 10.0, co wskazuje na pełne zagrożenie poufności, integralności i dostępności systemu.
▸ Pokaż oryginał (EN)
An OS command injection vulnerability has been reported to affect several QNAP operating system versions. If exploited, the vulnerability could allow users to execute commands via a network. We have already fixed the vulnerability in the following versions: QTS 5.1.3.2578 build 20231110 and later QTS 4.5.4.2627 build 20231225 and later QuTS hero h5.1.3.2578 build 20231110 and later QuTS hero h4.5.4.2626 build 20231225 and later QuTScloud c5.1.5.2651 and later
Podatność (CWE-77, CWE-78) polega na niewystarczającej walidacji lub neutralizacji danych wejściowych przekazywanych do interpretera poleceń systemu operacyjnego. Atakujący może poprzez sieć przesłać specjalnie spreparowane żądanie zawierające złośliwe polecenia, które zostaną wykonane w kontekście systemu operacyjnego urządzenia NAS. Wektor ataku sieciowy (AV:N), brak wymaganych uprawnień (PR:N) oraz brak interakcji użytkownika (UI:N) sprawiają, że atak może zostać przeprowadzony w pełni zdalnie i automatycznie.
Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń systemowych na urządzeniu QNAP NAS, co może prowadzić do przejęcia pełnej kontroli nad urządzeniem, wycieku danych, ich modyfikacji lub zniszczenia, a także do wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej (lateral movement).
Należy niezwłocznie zaktualizować oprogramowanie do następujących wersji: QTS 5.1.3.2578 build 20231110 lub nowszy, QTS 4.5.4.2627 build 20231225 lub nowszy, QuTS hero h5.1.3.2578 build 20231110 lub nowszy, QuTS hero h4.5.4.2626 build 20231225 lub nowszy, QuTScloud c5.1.5.2651 lub nowszy. Dodatkowo zaleca się ograniczenie dostępu do panelu zarządzania urządzeniem wyłącznie do zaufanych adresów IP oraz wyłączenie bezpośredniego dostępu z Internetu, jeśli nie jest wymagany.
QNAP QTS w wersjach wcześniejszych niż 5.1.3.2578 build 20231110 oraz wcześniejszych niż 4.5.4.2627 build 20231225; QuTS hero w wersjach wcześniejszych niż h5.1.3.2578 build 20231110 oraz wcześniejszych niż h4.5.4.2626 build 20231225; QuTScloud w wersjach wcześniejszych niż c5.1.5.2651
Podatność została naprawiona przez producenta w grudniu 2023 / listopadzie 2023, natomiast publiczne advisory (QSA-24-09) ukazało się 26 kwietnia 2024. Urządzenia QNAP NAS są historycznie częstym celem ataków ransomware i botnetów — zaleca się priorytetowe wdrożenie patchy.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HQnap Qts
OSQnap4.5.4.26275.1.3.2578< 4.5.4.26275.0.0 – 5.1.3.2578 (bez)Qnap Qutscloud
OSQnapc5.0.0.1919 – c5.1.5.2651 (bez)Qnap Quts Hero
OSQnaph4.5.4.2626h5.1.3.2578h5.0.0 – h5.1.3.2578 (bez)h4.5.0 – h4.5.4.2626 (bez)
Powiązane podatności
An externally controlled reference to a resource vulnerability has been reported to affect QNAP NAS running Ph...
An improper authorization vulnerability has been reported to affect QNAP NAS running HBS 3 (Hybrid Backup Sync...
A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerabil...
If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNA...
This external control of file name or path vulnerability allows remote attackers to access or modify system fi...