A QNAP corrigiu seis vulnerabilidades no rsync que poderiam permitir que invasores executassem código remotamente em dispositivos de armazenamento conectado à rede (NAS) não atualizados.
O rsync é uma ferramenta de sincronização de arquivos de código aberto que suporta sincronização direta de arquivos através de seu daemon, transferências via SSH e transferências incrementais que economizam tempo e largura de banda.
Ele é amplamente utilizado por muitas soluções de backup, como Rclone, DeltaCopy e ChronoSync, além de ser usado em operações de gestão de nuvem e servidores e distribuição pública de arquivos.
As falhas são rastreadas como
CVE-2024-12084
(estouro de buffer no heap),
CVE-2024-12085
(vazamento de informações por pilha não inicializada),
CVE-2024-12086
(vazamento de arquivos do cliente pelo servidor), CVE-2024-12087 (travessia de caminho via opção --inc-recursive),
CVE-2024-12088
(bypass da opção --safe-links) e CVE-2024-12747 (condição de corrida de link simbólico).
A QNAP afirma que elas afetam o HBS 3 Hybrid Backup Sync 25.1.x, a solução da empresa para backup de dados e recuperação de desastres, que suporta serviços de armazenamento local, remoto e em nuvem.
Em um comunicado de segurança divulgado na quinta-feira, a QNAP informou que corrigiu essas vulnerabilidades no HBS 3 Hybrid Backup Sync 25.1.4.952 e aconselhou os clientes a atualizar seu software para a versão mais recente.
Para atualizar a instalação do Hybrid Backup Sync no seu dispositivo NAS, você terá que:
- Logar no QTS ou QuTS hero como administrador.
- Abrir o Centro de Aplicativos e buscar por HBS 3 Hybrid Backup Sync.
- Aguardar o HBS 3 Hybrid Backup Sync aparecer nos resultados da busca.
- Clicar em Atualizar e depois em OK na mensagem de confirmação.
Essas falhas no rsync podem ser combinadas para criar cadeias de exploração que levam ao comprometimento do sistema remoto.
Os atacantes só precisam de acesso de leitura anônima aos servidores vulneráveis.
"Quando combinadas, as duas primeiras vulnerabilidades (estouro de buffer no heap e vazamento de informações) permitem que um cliente execute código arbitrário em um dispositivo que esteja executando um servidor rsync," alertou o CERT/CC uma semana atrás, quando o rsync 3.4.0 foi lançado com correções de segurança.
O cliente só precisa de acesso de leitura anônima ao servidor, como espelhos públicos.
Além disso, os atacantes podem tomar controle de um servidor malicioso e ler/escrever arquivos arbitrários de qualquer cliente conectado.
Uma pesquisa no Shodan mostra mais de 700.000 endereços IP com servidores rsync expostos.
No entanto, não está claro quantos deles são vulneráveis a ataques que exploram essas vulnerabilidades de segurança, uma vez que a exploração bem-sucedida requer credenciais válidas ou servidores configurados para conexões anônimas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...