QNAP dopo le critiche rilascia le patch di sicurezza: “Ci impegniamo a migliorare i nostri processi”

Redazione RHC : 25 Maggio 2024 09:12

Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana.

Ricordiamo che recentemente gli analisti di WatchTowr Labs hanno affermato di aver condotto un ampio audit di sicurezza del sistema operativo Qnap QTS (QuTSCLoud e QTS Hero), utilizzato nel NAS dell’azienda. Di conseguenza sono state scoperte 15 vulnerabilità e al momento della pubblicazione del rapporto degli specialisti 11 di esse non erano state corrette.

Uno dei problemi più pericolosi riscontrati dai ricercatori è stato il CVE-2024-27130. Si tratta di una vulnerabilità di buffer overflow dello stack correlata alla funzione No_Support_ACL in share.cgi, che consentiva agli aggressori di eseguire l’esecuzione di codice in modalità remota se venivano soddisfatte determinate condizioni.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence".  A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.   Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.  Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ancora peggio, gli esperti hanno allegato al loro rapporto un exploit PoC per CVE-2024-27130 e hanno criticato Qnap per la lentezza nel rilasciare le correzioni. Il fatto è che gli esperti hanno avvertito gli sviluppatori dei bug nel periodo da dicembre 2023 a gennaio 2024, ovvero hanno aspettato anche più di 90 giorni prima di rivelare i problemi.

Questa settimana, Qnap ha finalmente risolto il problema rilasciando QTS 5.1.7.2770 build 20240520 e QuTS hero h5.1.7.2770 build 20240520, che risolvono anche altre quattro vulnerabilità segnalate da WatchTowr.

Allo stesso tempo, l’azienda ha sottolineato che lo sfruttamento di CVE-2024-27130 era possibile solo su dispositivi con la protezione ASLR (Address Space Layout Randomization) disabilitata e ASLR è abilitato per impostazione predefinita su tutti i dispositivi Qnap con QTS 4.x e 5. .X. Cioè, lo sfruttamento della vulnerabilità era difficile e improbabile.

È stato riferito che altri due bug rilevati da WatchTowr verranno risolti “presto”. Inoltre, Qnap non ha ancora confermato la presenza di altre tre vulnerabilità.

Qnap ha anche risposto alle critiche dei ricercatori, promettendo di ottimizzare i processi e accelerare il lavoro sulle patch.

“Siamo spiacenti per eventuali problemi di coordinamento che potrebbero essere sorti riguardo al programma di rilascio del prodotto e alla divulgazione di queste vulnerabilità. Stiamo facendo sforzi per migliorare i nostri processi e i meccanismi di interazione in futuro per prevenire il ripetersi di problemi simili”, ha affermato Qnap. “In futuro, ci impegneremo a risolvere le vulnerabilità classificate come elevate o critiche e a rilasciare le patch entro 45 giorni.”

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli