QNAP ha rilasciato aggiornamenti di sicurezza che risolvono una serie di vulnerabilità, incluse tre critiche. Si consiglia vivamente agli utenti di installare patch per evitare rischi.qnap.com/en-us/security-adviso…

I problemi che hanno ricevuto maggiore attenzione sono l’applicazione Notes Station 3 utilizzata sui sistemi NAS. La vulnerabilità CVE-2024-38643 con un punteggio CVSS pari a 9,3 consente agli aggressori di ottenere accesso non autorizzato ed eseguire funzioni di sistema senza autorizzazione. Un altro bug, CVE-2024-38645 (CVSS: 9.4), è un problema di falsificazione delle richieste lato server (SSRF) che può portare alla perdita di dati. Questi problemi sono stati risolti nella versione 3.9.7.

Una vulnerabilità critica, CVE-2024-48860 (CVSS 9.5), è stata scoperta nei router QuRouter versione 2.4.x, e consente agli aggressori remoti di eseguire comandi sul sistema. La correzione è disponibile nella versione 2.4.3.106, che risolve anche il bug meno grave CVE-2024-48861 (CVSS: 7.3).

Notes Station 3 risolve anche le vulnerabilità di command injection e accesso ai dati CVE-2024-38644 (CVSS: 8.7) e CVE-2024-38646 (CVSS: 8.4). Il loro funzionamento richiede un account utente. Gli score rilasciati sono rispettivamente 8,7 e 8,4.

Ulteriori aggiornamenti hanno interessato i prodotti QNAP AI Core, QuLog Center e i sistemi operativi QTS e QuTS Hero. Tra questi ci sono:

• CVE-2024-38647 (CVSS: 7.9): una vulnerabilità relativa alla divulgazione di dati sensibili in QNAP AI Core, che è stata risolta nella versione 3.4.1.
• Il problema di path traversal del file system CVE-2024-48862 (CVSS: 8.7) in QuLog Center che è stato risolto nelle versioni 1.7.0.831 e 1.8.0.888.
• CVE-2024-50396 (CVSS: 7.7) e CVE-2024-50397 (CVSS: 7.7), errori nei formati stringa in QTS e QuTS Hero, risolti nelle versioni 5.2.1.2930 e h5.2.1.2929.

QNAP consiglia di non connettere dispositivi sensibili direttamente a Internet e di utilizzare una VPN per prevenire attacchi remoti.

L'articolo Tsunami di CVE per QNAP! Aggiornate il vostro NAS, Potrebbe fare il Doppio Gioco! proviene da il blog della sicurezza informatica.