QNAP dopo le critiche rilascia le patch di sicurezza: "Ci impegniamo a migliorare i nostri processi"

QNAP dopo le critiche rilascia le patch di sicurezza: “Ci impegniamo a migliorare i nostri processi”

Redazione RHC : 25 Maggio 2024 09:12

Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana.

Ricordiamo che recentemente gli analisti di WatchTowr Labs hanno affermato di aver condotto un ampio audit di sicurezza del sistema operativo Qnap QTS (QuTSCLoud e QTS Hero), utilizzato nel NAS dell’azienda. Di conseguenza sono state scoperte 15 vulnerabilità e al momento della pubblicazione del rapporto degli specialisti 11 di esse non erano state corrette.

Uno dei problemi più pericolosi riscontrati dai ricercatori è stato il CVE-2024-27130. Si tratta di una vulnerabilità di buffer overflow dello stack correlata alla funzione No_Support_ACL in share.cgi, che consentiva agli aggressori di eseguire l’esecuzione di codice in modalità remota se venivano soddisfatte determinate condizioni.

Christmas Sale -40%

𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.

Supporta Red Hot Cyber attraverso:

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ancora peggio, gli esperti hanno allegato al loro rapporto un exploit PoC per CVE-2024-27130 e hanno criticato Qnap per la lentezza nel rilasciare le correzioni. Il fatto è che gli esperti hanno avvertito gli sviluppatori dei bug nel periodo da dicembre 2023 a gennaio 2024, ovvero hanno aspettato anche più di 90 giorni prima di rivelare i problemi.

Questa settimana, Qnap ha finalmente risolto il problema rilasciando QTS 5.1.7.2770 build 20240520 e QuTS hero h5.1.7.2770 build 20240520, che risolvono anche altre quattro vulnerabilità segnalate da WatchTowr.

Allo stesso tempo, l’azienda ha sottolineato che lo sfruttamento di CVE-2024-27130 era possibile solo su dispositivi con la protezione ASLR (Address Space Layout Randomization) disabilitata e ASLR è abilitato per impostazione predefinita su tutti i dispositivi Qnap con QTS 4.x e 5. .X. Cioè, lo sfruttamento della vulnerabilità era difficile e improbabile.

È stato riferito che altri due bug rilevati da WatchTowr verranno risolti “presto”. Inoltre, Qnap non ha ancora confermato la presenza di altre tre vulnerabilità.

Qnap ha anche risposto alle critiche dei ricercatori, promettendo di ottimizzare i processi e accelerare il lavoro sulle patch.

“Siamo spiacenti per eventuali problemi di coordinamento che potrebbero essere sorti riguardo al programma di rilascio del prodotto e alla divulgazione di queste vulnerabilità. Stiamo facendo sforzi per migliorare i nostri processi e i meccanismi di interazione in futuro per prevenire il ripetersi di problemi simili”, ha affermato Qnap. “In futuro, ci impegneremo a risolvere le vulnerabilità classificate come elevate o critiche e a rilasciare le patch entro 45 giorni.”

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

QNAP dopo le critiche rilascia le patch di sicurezza: “Ci impegniamo a migliorare i nostri processi”

Articoli in evidenza