QNAP, müşterileri, uzak saldırganların QNAP NAS cihazlarına kötü amaçlı kod enjekte etmesine izin veren kritik bir güvenlik açığını çözen QTS ve QUTS ürün yazılımı güncellemelerini yüklemeleri için uyarıyor.
Güvenlik açığı CVE-2022-27596 olarak izlenir ve şirket tarafından 'kritik' (CVSS V3 puanı: 9.8) olarak derecelendirilir, QTS 5.0.1 ve QUTS Hero H5.0.1 işletim sisteminin sürümlerini etkiler.
QNAP Güvenlik Danışmanlığı'nı uyarıyor, "Bir güvenlik açığının QTS 5.0.1 ve Quts Hero H5.0.1 çalıştıran QNAP cihazlarını etkilediği bildirildi. Eğer sömürülürse, bu güvenlik açığı uzak saldırganların kötü amaçlı kod enjekte etmesine izin veriyor," diye uyarıyor QNAP Güvenlik Danışmanlığı.
Satıcı, güvenlik açığı veya sömürü potansiyeli hakkında birçok ayrıntı açıklamamıştır, ancak NIST portalı bunu bir SQL enjeksiyon kusuru olarak tanımlar.
SQL enjeksiyon kusurları, saldırganların beklenmedik davranışları gerçekleştirmek için meşru SQL sorgularını değiştirmek için savunmasız cihazlara özel hazırlanmış talepler göndermelerine olanak tanır.
Ayrıca QNAP, güvenlik açığının şiddetini açıklayan bir JSON dosyası yayınladı, bu da hedeflenen cihazda kullanıcı etkileşimi veya ayrıcalıkları gerektirmeden uzak saldırganların düşük karmaşık saldırılarında kullanılabilir olduğunu gösteriyor.
QNAP, QTS ve QUTS Hero'da çalışan kullanıcıların cihazlarının güvenli kalmak için aşağıdaki sürümlere yükseltilmesi gerektiğini söylüyor:
Güncellemeyi gerçekleştirmek için müşteriler cihazlarına yönetici kullanıcısı olarak oturum açabilir ve "Kontrol Paneli → Sistem → Ürün Yazılımı Güncellemesi" e gidebilir.
"Canlı Güncelleme" bölümü altında, "Güncellemeyi Kontrol Edin" seçeneğini tıklayın ve indirme ve kurulumun tamamlanmasını bekleyin.
Alternatif olarak, QNAP kullanıcıları doğru ürün türünü ve modelini seçtikten ve cihazlarına manuel olarak uyguladıktan sonra qnap'ın indirme merkezinden güncellemeyi indirebilir.
QNAP'ın danışmanlığı, CVE-2022-27596'yı vahşi doğada aktif olarak sömürülen olarak işaretlememiştir.
Ancak, kusurun ciddiyeti nedeniyle, tehdit aktörleri aktif olarak QNAP güvenlik açıklarını hedefledikçe kullanıcıların mümkün olan en kısa sürede mevcut güvenlik güncellemelerini uygulamaları önerilir.
QNAP cihazları, Deadbolt ve ECH0RAix olarak bilinen ve maruz kalan NAS cihazlarında verileri şifrelemek için güvenlik açıklarını kötüye kullandığı bilinen devam eden fidye yazılımı kampanyalarının hedefidir.
Yeni kritik kusurlara karşı 29.000'den fazla QNAP cihazı
QNAP, NAS cihazlarını hedefleyen yeni checkmate fidye yazılımı konusunda uyarıyor
Kritik çevrimiçi kurs eklentisi kusurlarından etkilenen 75K WordPress siteleri
POCUSS POPLISTS Popüler WordPress eklentilerinde kritik hatalar için yayınlandı
Zoho, yöneticileri hemen şiddetli yönetim hatasını yamaya çağırıyor
Kaynak: Bleeping Computer