Исследователи обнаружили 15 уязвимостей в сетевых устройствах хранения данных (NAS) компании QNAP и опубликовали доказательство одной из них: уязвимость переполнения стека без аутентификации (CVE-2024-27130), которая может быть использована для удаленного выполнения кода.
Уязвимости и PoC CVE-2024-27130
Операционная система QNAP QTS и ее «варианты» (QuTSCloud и QTS hero) с кодовой базой, имеющей десятилетнее наследие и длинную историю слабых мест в системе безопасности, заинтересовали исследователей WatchTowr Labs в поисках уязвимостей.
«Учитывая модель общего доступа к NAS-устройству, которая позволяет делиться файлами с определенными пользователями, нас интересовали как аутентифицированные, так и неаутентифицированные ошибки»
- заявили они
В итоге было обнаружено 15 уязвимостей, начиная от отсутствия/некорректной аутентификации, переполнения буфера и кучи данных и заканчивая подменой журнала и сохраненными ошибками межсайтового скриптинга.
CVE-2024-27130 – уязвимость, для которой они выпустили PoC-эксплойт (который работает только на устройствах QNAP, где вручную отключена рандомизация расположения адресного пространства) – может позволить злоумышленнику вызвать переполнение буфера, отправив запрос со специально созданным параметром name.
Для успешной атаки необходимо знать правильный параметр ssid, и исследователи выяснили, как его получить: он может быть извлечен из ссылки, генерируемой, когда пользователь NAS делится файлом с пользователем, не имеющим учетной записи NAS.
«Хотя это несколько ограничивает полезность бага – настоящие неаутентифицированные баги гораздо интереснее! – это вполне реалистичный сценарий атаки, когда пользователь NAS делится файлом с недоверенным пользователем. Мы, конечно, можем проверить это предположение, обратившись к быстрому и грязному google dork, который находит целую кучу ssids, подтверждая наше предположение о том, что обмен файлами со всем миром – это то, что часто делают пользователи NAS».
Регулярно обновляйте NAS
Устройства QNAP NAS популярны среди малого и среднего бизнеса, предприятий, а также среди вымогателей. Первые используют их для хранения данных, а вторые любят их за возможность шифровать конфиденциальные данные и получать за них выкуп.
Исследователи сообщили QNAP об уязвимостях в декабре 2023 и январе 2024 года, а в апреле 2024 года? QNAP наконец-то начала выпускать исправления (для CVE-2023-50361 – CVE-2023-50364).
Еще одна партия – CVE-2024-21902 и CVE-2024-27127 – CVE-2024-27130 – была устранена в QTS 5.1.7.2770 build 20240520 и выше и QuTS hero h5.1.7.2770 build 20240520 и выше, выпущенных сегодня.
Другие исправления, вероятно, находятся в работе и могут занять некоторое время, поскольку некоторые из проблем довольно сложны. WatchTowr Labs заявляет, что опубликует дополнительную информацию об обнаруженных ошибках позднее.
Администраторам рекомендуется регулярно обновлять свои системы, чтобы снизить риск эксплуатации этих и других дыр, которые становятся достоянием общественности или используются как «нулевые дни».
Комментарии (0)