QNAP предупреждава за уязвимости в своите софтуерни продукти за NAS, включително QTS, QuTS hero, QuTScloud и myQNAPcloud, които могат да позволят на атакуващите да получат достъп до устройствата.

Тайванският производител на мрежови устройства за съхранение (NAS) разкри три уязвимости, които могат да доведат до заобикаляне на удостоверяването, инжектиране на команди и инжектиране на SQL.

Докато последните две изискват нападателите да бъдат автентифицирани в целевата система, което значително намалява риска, първата (CVE-2024-21899) може да бъде изпълнена отдалечено без автентикация и е отбелязана като „ниска сложност“.

Трите отстранени недостатъка са следните:

• CVE-2024-21899: Неправилните механизми за удостоверяване позволяват на неупълномощени потребители да компрометират сигурността на системата чрез мрежата (отдалечено).
• CVE-2024-21900: Тази уязвимост може да позволи на автентифицирани потребители да изпълняват произволни команди в системата чрез мрежата, което може да доведе до неоторизиран достъп или контрол на системата.
• CVE-2024-21901: Тази уязвимост може да позволи на автентифицирани администратори да инжектират злонамерен SQL код през мрежата, което потенциално може да наруши целостта на базата данни и да манипулира нейното съдържание.

Недостатъците засягат различни версии на операционните системи на QNAP, включително QTS 5.1.x, QTS 4.5.x, QuTS hero h5.1.x, QuTS hero h4.5.x, QuTScloud c5.x и услугата myQNAPcloud 1.0.x.

За да актуализирате myQNAPcloud, влезте като администратор, отворете „App Center“, щракнете върху полето за търсене и въведете „myQNAPcloud“ + ENTER. Актуализацията трябва да се появи в резултатите. Щракнете върху бутона „Update“ (Актуализиране), за да започнете.

NAS устройствата често съхраняват големи количества ценни данни за фирми и физически лица, включително чувствителна лична информация, интелектуална собственост и критични бизнес данни. В същото време те не се наблюдават отблизо, остават винаги свързани и изложени на интернет и може да използват остаряла операционна система/фърмуер.

Поради всички тези причини NAS устройствата често стават обект на кражба на данни и изнудване.

Някои от операциите за изнудване, за които е известно, че са насочени към устройства QNAP, са DeadBolt, Checkmate и Qlocker.

Тези групи са предприели многобройни вълни от атаки срещу потребители на NAS, като понякога използват експлойти от нулев ден, за да пробият напълно поправени устройства.

Най-добрият съвет за собствениците на NAS е винаги да поддържат софтуера си актуализиран, а още по-добре – да не излагат този тип устройства на интернет.