QNAP, QTS, QuTS Hero, QuTScloud ve myQNAPcloud dahil olmak üzere NAS yazılım ürünlerindeki, saldırganların cihazlara erişmesine izin verebilecek güvenlik açıkları konusunda uyarıyor.
Tayvanlı Ağa Bağlı Depolama (NAS) cihazı üreticisi, kimlik doğrulamanın atlanmasına, komut enjeksiyonuna ve SQL enjeksiyonuna yol açabilecek üç güvenlik açığını açıkladı.
Son ikisi, saldırganların hedef sistemde kimliğinin doğrulanmasını gerektirir ve bu da riski önemli ölçüde azaltır; ilki (CVE-2024-21899), kimlik doğrulaması olmadan uzaktan yürütülebilir ve “düşük karmaşıklık” olarak işaretlenmiştir.
Düzeltilen üç kusur şunlardır:
- CVE-2024-21899: Uygun olmayan kimlik doğrulama mekanizmaları, yetkisiz kullanıcıların ağ üzerinden (uzaktan) sistemin güvenliğini tehlikeye atmasına olanak tanır.
- CVE-2024-21900: Bu güvenlik açığı, kimliği doğrulanmış kullanıcıların bir ağ aracılığıyla sistemde rastgele komutlar yürütmesine izin verebilir ve bu da potansiyel olarak yetkisiz sistem erişimine veya kontrolüne yol açabilir.
- CVE-2024-21901: Bu kusur, kimliği doğrulanmış yöneticilerin ağ üzerinden kötü amaçlı SQL kodu eklemesine, potansiyel olarak veritabanı bütünlüğünü tehlikeye atmasına ve içeriğini değiştirmesine olanak tanıyabilir.
Kusurlar, QNAP'ın işletim sistemlerinin çeşitli sürümlerini etkiliyor; bunlar arasında QTS 5.1.x, QTS 4.5.x, QuTS kahraman h5.1.x, QuTS kahraman h4.5.x, QuTScloud c5.x ve myQNAPcloud 1.0.x hizmeti yer alıyor.
Kullanıcıların, üç kusuru gideren aşağıdaki sürümlere yükseltmeleri önerilir:
- QTS 5.1.3.2578 derlemesi 20231110 ve üzeri
- QTS 4.5.4.2627 derlemesi 20231225 ve üzeri
- QuTS Hero h5.1.3.2578 derleme 20231110 ve sonrası
- QuTS Hero h4.5.4.2626 derlemesi 20231225 ve sonrası
- QuTScloud c5.1.5.2651 ve üzeri
- myQNAPcloud 1.0.52 (2023/11/24) ve üzeri
QTS, QuTS Hero ve QuTScloud için kullanıcıların yönetici olarak oturum açması ve 'Denetim Masası > Sistem > Donanım Yazılımı Güncellemesi've' seçeneğini tıklayınGüncellemeleri kontrol ediniz' Otomatik kurulum işlemini başlatmak için.
myQNAPcloud'u güncellemek için yönetici olarak oturum açın, 'Uygulama Merkezi,' tıkla arama kutusuve yazın “myQNAPcloud” + ENTER. Güncelleme sonuçlarda görünmelidir. Tıkla 'Güncelleme' düğmesine basın.
NAS cihazları genellikle hassas kişisel bilgiler, fikri mülkiyet ve kritik iş verileri dahil olmak üzere işletmelere ve bireylere yönelik büyük miktarlarda değerli verileri depolar. Aynı zamanda, yakından izlenmiyorlar, her zaman bağlı kalıyorlar ve internete açık kalıyorlar ve eski işletim sistemi/ürün yazılımını kullanıyor olabilirler.
Tüm bu nedenlerden dolayı, NAS cihazları genellikle veri hırsızlığı ve gaspın hedefi oluyor.
Daha önce QNAP cihazlarını hedef aldığı bilinen fidye yazılımı operasyonlarından bazıları DeadBolt, Checkmate ve Qlocker'dır.
Bu gruplar, NAS kullanıcılarına karşı çok sayıda saldırı dalgası başlattı ve bazen tamamen yamalı cihazlara sızmak için sıfır gün saldırılarından yararlandı.
NAS sahipleri için en iyi tavsiye, yazılımınızı her zaman güncel tutmanız ve daha da iyisi, bu tür cihazları internete maruz bırakmamanızdır.