Araştırmacılar, QNAP’ın ağa bağlı depolama (NAS) cihazlarında 15 güvenlik açığı buldu ve bunlardan biri için bir kavram kanıtı yayınladı: uzaktan kod yürütmek için kullanılabilecek, kimliği doğrulanmamış bir yığın taşması güvenlik açığı (CVE-2024-27130).
Güvenlik açıkları ve CVE-2024-27130 PoC
QNAP’in QTS işletim sistemi ve onun “varyantları” (QuTSCloud ve QTS kahramanı), “10 yılı aşkın uzun bir mirasa ve uzun bir güvenlik zayıflık geçmişine sahip kod tabanıyla” WatchTowr Labs araştırmacılarını güvenlik açıklarını araştırmaya teşvik etti.
“NAS cihazının belirli kullanıcılarla dosya paylaşımına izin veren paylaşımlı erişim modeli göz önüne alındığında, hem kimliği doğrulanmış hem de kimliği doğrulanmamış hatalar bizi ilgilendiriyordu” dediler.
Eksik/yanlış kimlik doğrulama ve arabellek ve yığın taşmalarından günlük sahtekarlığına ve depolanan siteler arası komut dosyası oluşturma hatalarına kadar değişen 15 tanesini keşfettiler.
CVE-2024-27130 – bir güvenlik açığı yayınladılar. PoC’den yararlanma (yalnızca adres alanı düzeni rastgeleleştirmesinin manuel olarak devre dışı bırakıldığı QNAP cihazında çalışır) – bir saldırganın özel hazırlanmış bir istek göndererek arabellek taşmasını tetiklemesine izin verebilir.
Başarılı bir saldırının şartı doğruyu bilmektir SSID Kullanılacak parametre ve araştırmacılar bunu nasıl elde edeceklerini buldular: Bir NAS kullanıcısı, NAS hesabı olmayan bir kullanıcıyla bir dosya paylaştığında oluşturulan bir bağlantıdan çıkarılabilir.
“Bu, hatanın kullanışlılığını biraz sınırlasa da, gerçek kimliği doğrulanmamış hatalar çok daha eğlencelidir! – bir NAS kullanıcısının güvenilmeyen bir kullanıcıyla dosya paylaşması tamamen gerçekçi bir saldırı senaryosu” dedi.
“Elbette bu beklentiyi, bir sürü ssid bulan hızlı ve kirli bir Google aptalına başvurarak ve bir dosyayı tüm dünyayla paylaşmanın NAS kullanıcıları tarafından sıklıkla yapılan bir şey olduğu varsayımımızı doğrulayarak doğrulayabiliriz.”
NAS’ınızı düzenli olarak güncelleyin
QNAP NAS cihazları, küçük ve orta ölçekli işletmeler, kuruluşlar ve fidye yazılımı çeteleri arasında popülerdir.
Araştırmacılar Aralık 2023 ve Ocak 2024’te QNAP’teki güvenlik açıklarını bildirdiler ve QNAP nihayet düzeltmeleri yayınlamaya başladı. Nisan 2024 (CVE-2023-50361 ila CVE-2023-50364 için).
CVE-2024-21902 ve CVE-2024-27127 ila CVE-2024-27130’u kapsayan başka bir grup – ele alındı QTS 5.1.7.2770 derleme 20240520 ve sonraki sürümlerde ve QuTS Hero h5.1.7.2770 derleme 20240520 ve sonraki sürümlerde bugün yayınlandı.
Diğer düzeltmelerin de yapılması muhtemeldir ve bazı sorunlar oldukça karmaşık olduğundan biraz zaman alabilir. WatchTowr Labs, keşfedilen hatalar hakkında daha fazla bilgiyi ileriki bir tarihte yayınlayacaklarını söyledi.
Yöneticilerin, bu açıklardan ve diğer açıklardan yararlanılması riskini azaltmak için sistemlerini düzenli olarak güncellemeleri önerilir.
0 Yorumlar