Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

QNAP dopo le critiche rilascia le patch di sicurezza: “Ci impegniamo a migliorare i nostri processi”

Redazione RHC : 25 Maggio 2024 09:12

Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana.

Ricordiamo che recentemente gli analisti di WatchTowr Labs hanno affermato di aver condotto un ampio audit di sicurezza del sistema operativo Qnap QTS (QuTSCLoud e QTS Hero), utilizzato nel NAS dell’azienda. Di conseguenza sono state scoperte 15 vulnerabilità e al momento della pubblicazione del rapporto degli specialisti 11 di esse non erano state corrette.

Uno dei problemi più pericolosi riscontrati dai ricercatori è stato il CVE-2024-27130. Si tratta di una vulnerabilità di buffer overflow dello stack correlata alla funzione No_Support_ACL in share.cgi, che consentiva agli aggressori di eseguire l’esecuzione di codice in modalità remota se venivano soddisfatte determinate condizioni.


Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi». Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]



Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.


Ancora peggio, gli esperti hanno allegato al loro rapporto un exploit PoC per CVE-2024-27130 e hanno criticato Qnap per la lentezza nel rilasciare le correzioni. Il fatto è che gli esperti hanno avvertito gli sviluppatori dei bug nel periodo da dicembre 2023 a gennaio 2024, ovvero hanno aspettato anche più di 90 giorni prima di rivelare i problemi.

Questa settimana, Qnap ha finalmente risolto il problema rilasciando QTS 5.1.7.2770 build 20240520 e QuTS hero h5.1.7.2770 build 20240520, che risolvono anche altre quattro vulnerabilità segnalate da WatchTowr.

Allo stesso tempo, l’azienda ha sottolineato che lo sfruttamento di CVE-2024-27130 era possibile solo su dispositivi con la protezione ASLR (Address Space Layout Randomization) disabilitata e ASLR è abilitato per impostazione predefinita su tutti i dispositivi Qnap con QTS 4.x e 5. .X. Cioè, lo sfruttamento della vulnerabilità era difficile e improbabile.

È stato riferito che altri due bug rilevati da WatchTowr verranno risolti “presto”. Inoltre, Qnap non ha ancora confermato la presenza di altre tre vulnerabilità.

Qnap ha anche risposto alle critiche dei ricercatori, promettendo di ottimizzare i processi e accelerare il lavoro sulle patch.

“Siamo spiacenti per eventuali problemi di coordinamento che potrebbero essere sorti riguardo al programma di rilascio del prodotto e alla divulgazione di queste vulnerabilità. Stiamo facendo sforzi per migliorare i nostri processi e i meccanismi di interazione in futuro per prevenire il ripetersi di problemi simili”, ha affermato Qnap. “In futuro, ci impegneremo a risolvere le vulnerabilità classificate come elevate o critiche e a rilasciare le patch entro 45 giorni.”

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

In Nepal si muore per i Social Network! In 19 hanno perso la vita per riavere Facebook
Di Redazione RHC - 09/09/2025

Con una drammatica inversione di tendenza, il Nepal ha revocato il blackout nazionale sui social media imposto la scorsa settimana dopo che aveva scatenato massicce proteste giovanili e causato almeno...

Le Aziende italiane dei call center lasciano online tutte le registrazioni audio
Di Redazione RHC - 09/09/2025

Le aziende italiane che utilizzano piattaforme di telefonia online (VoIP) basate su software open-source come Asterisk e Vicidial, si affidano a questi sistemi per contattare quotidianamente i cittadi...

Tasting the Exploit: HackerHood testa l’exploit di WINRAR CVE-2025-8088
Di Redazione RHC - 09/09/2025

Manuel Roccon, leader del team etico HackerHood di Red Hot Cyber, ha realizzato una dettagliata dimostrazione video su YouTube che espone in modo pratico come funziona CVE-2025-8088 di WinRAR. Il vide...

L’ambizione di Xi Jinping e degli APT Cinesi
Di Alessio Stefan - 08/09/2025

I macro movimenti politici post-covid, comprendendo i conflitti in essere, hanno smosso una parte predominante di stati verso cambi di obbiettivi politici sul medio/lungo termine. Chiaramente è stato...

Minaccia Houthi o incidente misterioso? Il Mar Rosso paralizza Asia e Medio Oriente
Di Redazione RHC - 07/09/2025

Come abbiamo riportato questa mattina, diversi cavi sottomarini nel Mar Rosso sono stati recisi, provocando ritardi nell’accesso a Internet e interruzioni dei servizi in Asia e Medio Oriente. Micros...