SK-CERT Bezpečnostné varovanie V20240429-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	10.0

Identifikátor

QNAP produkty – viacero kritických bezpečnostných zraniteľností

Popis

Spoločnosť QNAP vydala bezpečnostné aktualizácie na svoje portfólio produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú štyri označené ako kritické. Najzávažnejšia kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2024-32766 sa nachádza v produktoch QTS, QuTS hero, QuTScloud, myQNAPcloud, a myQNAPcloud Link, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom injekcie špeciálne upravených príkazov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému.

Dátum prvého zverejnenia varovania

25.4.2024

CVE

CVE-2024-21900, CVE-2024-21899, CVE-2023-5824, CVE-2023-51365, CVE-2023-51364, CVE-2023-50364, CVE-2023-50363, CVE-2023-50362, CVE-2023-50361, CVE-2023-47222, CVE-2023-46847, CVE-2023-46846, CVE-2023-46724, CVE-2023-41291, CVE-2023-41290

IOC

–

Zasiahnuté systémy

QuTScloud QuTS hero QuFirewall QTS Proxy Server myQNAPcloud myQNAPcloud Link Media Streaming Add-on Presnú špecifikáciu jednotlivých zasiahnutých produktov nájdete na odkazoch v sekcii ZDROJE

Následky

Vykonanie škodlivého kódu Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. SK-CERT administrátorom odporúča venovať osobitnú pozornosť aktualizácii firmvéru, nie len aplikačnému softvéru.

Zdroje

https://www.qnap.com/en/security-advisory/qsa-24-09 https://www.qnap.com/uploads/security-advisories/QSA-24-09/CVE-2024-32766.json https://www.qnap.com/uploads/security-advisories/QSA-24-09/CVE-2024-32764.json https://www.qnap.com/uploads/security-advisories/QSA-24-09/CVE-2024-21899.json https://www.qnap.com/en/security-advisory/qsa-24-20 https://www.qnap.com/en/security-advisory/qsa-24-18 https://www.qnap.com/en/security-advisory/qsa-24-17 https://www.qnap.com/en/security-advisory/qsa-24-16 https://www.qnap.com/en/security-advisory/qsa-24-15 https://www.qnap.com/uploads/security-advisories/QSA-24-15/CVE-2023-47222.json https://www.qnap.com/en/security-advisory/qsa-24-14

« Späť na zoznam