A QNAP alerta para vulnerabilidades em seus produtos de software NAS, incluindo QTS, QuTS hero, QuTScloud e myQNAPcloud, que poderiam permitir que invasores acessassem os dispositivos.
O fabricante taiwanês de dispositivos Network Attached Storage (NAS) divulgou três vulnerabilidades que podem levar a uma autenticação indevida, injeção de comandos e injeção SQL.
Embora as duas últimas requerem que os invasores estejam autenticados no sistema alvo, o que diminui significativamente o risco, a primeira (
CVE-2024-21899
) pode ser executada remotamente sem autenticação e é marcada como "baixa complexidade".
As três falhas corrigidas são as seguintes:
CVE-2024-21899
: Mecanismos de autenticação impróprios permitem que usuários não autorizados comprometam a segurança do sistema remotamente.
CVE-2024-21900
: Esta vulnerabilidade poderia permitir que usuários autenticados executassem comandos arbitrários no sistema via rede, potencialmente levando a um acesso ou controle de sistema não autorizado.
CVE-2024-21901
: Esta falha poderia permitir que administradores autenticados injetassem código SQL malicioso através da rede, comprometendo potencialmente a integridade do banco de dados e manipulando seu conteúdo.
As falhas afetam várias versões dos sistemas operacionais da QNAP, incluindo QTS 5.1.x, QTS 4.5.x, QuTS hero h5.1.x, QuTS hero h4.5.x, QuTScloud c5.x e o serviço myQNAPcloud 1.0.x.
Os usuários são recomendados a atualizar para as seguintes versões, que corrigem as três falhas:
QTS 5.1.3.2578 build 20231110 e posterior
QTS 4.5.4.2627 build 20231225 e posterior
QuTS hero h5.1.3.2578 build 20231110 e posterior
QuTS hero h4.5.4.2626 build 20231225 e posterior
QuTScloud c5.1.5.2651 e posterior
myQNAPcloud 1.0.52 (2023/11/24) e posterior
Para QTS, QuTS hero, e QuTScloud, os usuários devem fazer logon como administradores, navegar até 'Painel de Controle > Sistema > Atualização de Firmware', e clicar em 'Verificar Atualizações' para iniciar o processo de instalação automática.
Para atualizar o myQNAPcloud, faça login como administrador, abra o 'Centro de aplicativos', clique na caixa de pesquisa e digite "myQNAPcloud" + ENTER.
A atualização deve aparecer nos resultados.
Clique no botão 'Atualizar' para iniciar.
Os dispositivos NAS costumam armazenar grandes quantidades de dados valiosos para empresas e indivíduos, incluindo informações pessoais sensíveis, propriedade intelectual, dados de negócios críticos.
Ao mesmo tempo, não são monitorados de perto, permanecem sempre conectados e expostos à internet e podem estar usando um sistema operacional/firmware desatualizado.
Por todas essas razões, os dispositivos NAS são frequentemente alvo de roubo e extorsão de dados.
Algumas operações de ransomware previamente conhecidas por mirar em dispositivos QNAP são DeadBolt, Checkmate e Qlocker.
Esses grupos lançaram inúmeras ondas de ataques contra usuários de NAS, por vezes aproveitando as vulnerabilidades zero-day para invadir dispositivos totalmente corrigidos.
O melhor conselho para os proprietários de NAS é sempre manter o seu software atualizado e, ainda melhor, não expor esses tipos de dispositivos à internet.
Publicidade
Aprenda a criar dispositivos incríveis com o especialista Júlio Della Flora. Tenha acesso a aulas prática que te ensinarão o que há de mais moderno em gadgets de hacking e pentest. Se prepare para o mercado de pentest físico e de sistemas embarcados através da certificação SYH2. Saiba mais...