Avviso contenuto: Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana. Ricordiamo che recentemente gli analisti di Wa
Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana.
Ricordiamo che recentemente gli analisti di WatchTowr Labs hanno affermato di aver condotto un ampio audit di sicurezza del sistema operativo Qnap QTS (QuTSCLoud e QTS Hero), utilizzato nel NAS dell’azienda. Di conseguenza sono state scoperte 15 vulnerabilità e al momento della pubblicazione del rapporto degli specialisti 11 di esse non erano state corrette.
Uno dei problemi più pericolosi riscontrati dai ricercatori è stato il CVE-2024-27130. Si tratta di una vulnerabilità di buffer overflow dello stack correlata alla funzione No_Support_ACL in share.cgi, che consentiva agli aggressori di eseguire l’esecuzione di codice in modalità remota se venivano soddisfatte determinate condizioni.
Ancora peggio, gli esperti hanno allegato al loro rapporto un exploit PoC per CVE-2024-27130 e hanno criticato Qnap per la lentezza nel rilasciare le correzioni. Il fatto è che gli esperti hanno avvertito gli sviluppatori dei bug nel periodo da dicembre 2023 a gennaio 2024, ovvero hanno aspettato anche più di 90 giorni prima di rivelare i problemi.
Questa settimana, Qnap ha finalmente risolto il problema rilasciando QTS 5.1.7.2770 build 20240520 e QuTS hero h5.1.7.2770 build 20240520, che risolvono anche altre quattro vulnerabilità segnalate da WatchTowr.
Allo stesso tempo, l’azienda ha sottolineato che lo sfruttamento di CVE-2024-27130 era possibile solo su dispositivi con la protezione ASLR (Address Space Layout Randomization)disabilitata e ASLR è abilitato per impostazione predefinita su tutti i dispositivi Qnap con QTS 4.x e 5. .X. Cioè, lo sfruttamento della vulnerabilità era difficile e improbabile.
È stato riferito che altri due bug rilevati da WatchTowr verranno risolti “presto”. Inoltre, Qnap non ha ancora confermato la presenza di altre tre vulnerabilità.
Qnap ha anche risposto alle critiche dei ricercatori, promettendo di ottimizzare i processi e accelerare il lavoro sulle patch.
“Siamo spiacenti per eventuali problemi di coordinamento che potrebbero essere sorti riguardo al programma di rilascio del prodotto e alla divulgazione di queste vulnerabilità. Stiamo facendo sforzi per migliorare i nostri processi e i meccanismi di interazione in futuro per prevenire il ripetersi di problemi simili”, ha affermato Qnap. “In futuro, ci impegneremo a risolvere le vulnerabilità classificate come elevate o critiche e a rilasciare le patch entro 45 giorni.”