Kişisel ve kurumsal veri depolamadaki güvenilirliği nedeniyle yaygın olarak kabul edilen QNAP NAS sistemleri, son zamanlarda çok sayıda kritik güvenlik açığı nedeniyle incelemeye alındı. QNAP’ın işletim sistemlerinde tanımlanan bu QNAP NAS güvenlik açıkları potansiyel olarak saldırganların sistemleri tehlikeye atmasına ve değerli verileri riske atmasına olanak tanıyabilir. 6 milyondan fazla kullanıcının QNAP NAS cihazlarına güvendiği göz önüne alındığında, bu tehditlerin doğasını ve sistemlerinizi kötüye kullanıma karşı nasıl koruyacağınızı anlamak çok önemlidir.
Son güvenlik değerlendirmeleri, QNAP NAS sistemlerinde kullanıcıları uzaktan kod yürütmeye, hizmet reddine (DoS), veri manipülasyonuna ve daha fazlasına maruz bırakabilecek bir dizi güvenlik açığını ortaya çıkardı. Bu güvenlik kusurları, sistemlerin bütünlüğünü tehlikeye atabilir ve hassas bilgilerin yetkisiz kişilerin erişimine açık hale gelmesine neden olabilir.
Belirlenen Önemli QNAP NAS Güvenlik Açıkları
QNAP NAS sistemlerinde belirlenen güvenlik açıkları, özellikle hassas verilerin depolandığı ortamlarda çeşitli çevrimiçi riskler oluşturur. En önemli tehditlerden biri, saldırganların uzaktan rastgele kod yürütebildiği, potansiyel olarak cihazın kontrolünü ele geçirebildiği ve depolanan verilere erişebildiği uzaktan kod yürütmedir.
Diğer bir risk ise saldırganların sistemi aşırı yükleyerek meşru kullanıcılar tarafından kullanılamaz hale gelmesine ve iş operasyonlarının aksamasına neden olabilecek hizmet reddidir (DoS). Saldırganlar, NAS sisteminde depolanan kritik verileri değiştirebileceğinden veya silebilir ve bu da veri kaybına ve bütünlük sorunlarına yol açabileceğinden, veri manipülasyonu da endişe vericidir.
Ayrıca, yedekleme dosyaları, mali kayıtlar ve diğer gizli bilgiler gibi hassas veriler yetkisiz kişilerin eline geçebileceğinden bilgilerin ifşa edilmesi ciddi bir tehdittir. Son olarak, kimlik doğrulama mekanizmalarındaki güvenlik açıkları, saldırganların güvenlik kontrollerini atlamasına ve sistemin kısıtlı bölümlerine yetkisiz erişim sağlamasına olanak tanıyabilir.
Güvenlik açıkları, hem QTS hem de QuTS Hero dahil olmak üzere QNAP’ın işletim sistemlerinin belirli sürümlerinde bulunur. QTS’nin etkilenen sürümleri 5.1.x ve 5.2.x’tir; QuTS kahramanının güvenlik açığı bulunan sürümleri ise h5.1.x ve h5.2.x’tir. Bu işletim sistemleri QNAP NAS cihazlarına güç sağlar ve bunların içindeki herhangi bir güvenlik açığı potansiyel olarak milyonlarca cihazı saldırılara maruz bırakabilir.
QNAP NAS’taki güvenlik açıkları: CVE Dağılımı
QNAP NAS sistemlerini etkileyen güvenlik kusurları, çeşitli Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) tanımlayıcıları altında izlenir. QNAP NAS’taki kritik güvenlik açıkları aşağıdadır:
- CVE-2024-48859: Uygunsuz Kimlik Doğrulama, potansiyel olarak uzak saldırganların sistemin güvenliğini tehlikeye atmasına olanak tanır.
- CVE-2024-48865: Yerel ağ erişimi olan saldırganların güvenlik kontrollerini atlamasına olanak tanıyan Uygunsuz Sertifika Doğrulaması.
- CVE-2024-48866: Beklenmeyen sistem durumlarına yol açan Uygunsuz URL Kodlama İşlemesi.
- CVE-2024-48867, 48868: CRLF Enjeksiyonu, saldırganların uygulama verilerini değiştirmesine olanak tanır.
- CVE-2024-50393: Komut Enjeksiyonu, uzaktaki saldırganların sistemde rastgele komutlar yürütmesine olanak tanır.
- CVE-2024-50402, 50403: Dışarıdan Kontrollü Format Dizesi, saldırganlara sistem belleğine erişme veya bunları değiştirme konusunda yönetici ayrıcalıkları verir.
Bu güvenlik açıkları, giriş doğrulama, kimlik doğrulama süreçleri ve güvenlik kontrolleri dahil olmak üzere sistem bileşenlerindeki zayıflıkları ortaya çıkarır.
QNAP NAS Güvenlik Açıklarına Yönelik Azaltma ve Düzeltmeler
Bu kritik güvenlik açıklarını gidermek amacıyla QNAP, etkilenen işletim sistemleri için yamalar yayımladı. Kullanıcıların QNAP NAS cihazlarını aşağıdaki sabit sürümlere güncellemeleri önemle tavsiye edilir:
- QTS 5.1.x: QTS 5.1.9.2954 Güncellemesi (20 Kasım 2024’te yayınlandı)
- QTS 5.2.x: QTS 5.2.2.2950 Güncellemesi (14 Kasım 2024’te yayınlandı)
- QuTS kahraman h5.1.x: QuTS Hero h5.1.9.2954 Güncellemesi (20 Kasım 2024’te yayınlandı)
- QuTS kahraman h5.2.x: QuTS Hero h5.2.2.2952 Güncellemesi (16 Kasım 2024’te yayınlandı)
QNAP NAS’ınızı Güncelleme
QNAP NAS sisteminizi güncellemek basit bir işlemdir. Sisteminizin güvenliğinin sağlandığından nasıl emin olacağınız aşağıda açıklanmıştır:
- Giriş yapmak: Yönetici olarak QTS veya QuTS kahramanına erişin.
- Firmware Güncellemesine Git: Denetim Masası > Sistem > Firmware Güncelleme’ye gidin.
- Güncellemeleri Kontrol Et: Canlı Güncelleme sekmesi altında “Güncellemeyi Kontrol Et”i tıklayın.
- Otomatik Güncelleme: Sistem en son güncellemeyi otomatik olarak indirip yükleyecektir.
- Manuel Güncelleme: Alternatif olarak, ürün yazılımını manuel olarak indirip yüklemek için QNAP İndirme Merkezini ziyaret edin.
Çözüm
QNAP NAS cihazları, finansal kayıtlar ve yedeklemeler gibi hassas verileri depolayarak onları saldırıların ana hedefi haline getirir. Bu sistemlerdeki güvenlik açıklarından yararlanmak mali kayıplara, veri ihlallerine ve itibar kaybına yol açabilir. QNAP NAS sistemlerini güvence altına almak için iki faktörlü kimlik doğrulamayı etkinleştirin, güvenilir IP’lere harici erişimi sınırlayın, verileri düzenli olarak yedekleyin, anormallikleri izleyin ve güçlü şifreler kullanın.
İlgili