Tchajwanský výrobce síťových úložišť QNAP oznámil vydání aktualizace opravující vážnou bezpečnostní chybu. Zranitelnost v nginx je poslední z řady problémů, s nimiž se firma potýká od ledna. Bezpečnostní trhlina, evidovaná jako CVE-2019-11043, má v systému hodnocení zranitelností CVSS hodnocení závažnosti 9,8 z 10.
Mezi postižené verze operačních systémů patří QTS 5.0.x a vyšší, QTS 4.5.x a vyšší, QuTS hero h5.0.x a vyšší, QuTS hero h4.5.x a vyšší a QuTScloud c5.0.x a vyšší. Již byla vydána oprava pro QTS 5.0.1.2034 v sestavení 20220515 a novějším a QuTS hero h5.0.0.2069 v sestavení 20220614 a novějším.
Díra do NASů
Bezpečnostní díra, umožňující útočníkovi vzdálené spuštění kódu, funguje pouze v systémech s nainstalovaným webovým serverem nginx. Nutno podotknout, že tato komponenta není ve výchozím nastavení na NASech nainstalována.
„Byla nahlášena chyba, která ovlivňuje verze PHP 7.1.x nižší než 7.1.33, 7.2.x nižší než 7.2.24 a 7.3.x nižší než 7.3.11 s nesprávnou konfigurací nginx. Pokud je zranitelnost zneužita, umožňuje útočníkům provést vzdálené spuštění kódu,“ vysvětluje výrobce v bezpečnostním upozornění.
Chcete-li nainstalovat aktualizaci, přihlaste se nejprve k systému QTS, QuTS hero nebo QuTScloud jako správce. Poté přejděte do Control Panel-System-Firmware Update a vyberte možnost Live Update-Check for Update. Aktualizaci můžete stáhnout také ručně z webových stránek výrobce.
QNAP cílem ransomwaru
Zbývá dodat, že výše uvedený problém nijak nesouvisí s útoky ransomwaru DeadBolt, jež v posledních několika měsících postihly uživatele NASů této značky. Výrobce si vysloužil kritiku za to, že v reakci na ně vynutil na potenciálně ohrožených zařízeních automatické aktualizace, což některým uživatelům způsobilo neočekávanou ztrátu dat.
Server Bleeping Computer také o víkendu informoval, že na zranitelná zařízení QNAP začal opět útočit ransomware ech0raix. Dokud výrobce nezveřejní další podrobnosti o probíhajících útocích, zůstává vektor infekce použitý v nových kampaních DeadBolt a ech0raix neznámý.