Redazione RHC : 12 Dicembre 2024 15:43
L’azienda taiwanese Qnap Systems ha rilasciato patch per diverse vulnerabilità in QTS e QuTS Hero. In precedenza, questi problemi erano stati scoperti e dimostrati nell’ambito della competizione hacker Pwn2Own Ireland, tenutasi nell’autunno del 2024.
I partecipanti a Pwn2Own hanno guadagnato decine di migliaia di dollari dagli exploit dei prodotti Qnap e uno degli attacchi ha fruttato agli specialisti addirittura 100.000 dollari (anche se ha coinvolto non solo bug nei dispositivi Qnap, ma anche TrueNAS).
Il problema più grave ora risolto è CVE-2024-50393 (punteggio CVSS 8,7). Ha consentito di eseguire comandi remoti arbitrari su dispositivi vulnerabili.
Sponsorizza la prossima Red Hot Cyber Conference!
Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un paccheto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
Un’altra vulnerabilità, CVE-2024-48868 (punteggio CVSS 8.7), è un’iniezione CRLF che potrebbe essere utilizzata per modificare i dati dell’applicazione. Il problema dello sfruttamento era dovuto al fatto che speciali elementi CRLF sono incorporati nel codice, come le intestazioni HTTP, per indicare i marcatori EOL.
Gli sviluppatori Qnap hanno corretto questi errori come parte di QTS 5.1.9.2954 build 20241120, QTS 5.2.2.2950 build 20241114, QuTS Hero h5.1.9.2954 build 20241120 e QuTS Hero h5.2.2.2952 build 20241116.
Inoltre, gli ultimi aggiornamenti risolvono il bug CVE-2024-48865 (punteggio CVSS 7.3), un problema con la verifica errata del certificato che consentiva agli aggressori sulla rete locale di compromettere la sicurezza del sistema.
Sono state inoltre risolte una serie di vulnerabilità minori relative all’autenticazione errata e all’iniezione CRLF, nonché problemi relativi alla codifica esadecimale e alla stringa di formato.
Vale la pena notare che lo scorso fine settimana gli specialisti Qnap hanno annunciato separatamente l’eliminazione di un altro errore pericoloso scoperto nel Centro licenze. CVE-2024-48863 (punteggio CVSS 7,7) che potrebbe consentire agli aggressori remoti di eseguire comandi arbitrari su dispositivi vulnerabili. Una correzione per questo bug è stata inclusa in Qnap License Center 1.9.43.
RedazioneCon una drammatica inversione di tendenza, il Nepal ha revocato il blackout nazionale sui social media imposto la scorsa settimana dopo che aveva scatenato massicce proteste giovanili e causato almeno...
Le aziende italiane che utilizzano piattaforme di telefonia online (VoIP) basate su software open-source come Asterisk e Vicidial, si affidano a questi sistemi per contattare quotidianamente i cittadi...
Manuel Roccon, leader del team etico HackerHood di Red Hot Cyber, ha realizzato una dettagliata dimostrazione video su YouTube che espone in modo pratico come funziona CVE-2025-8088 di WinRAR. Il vide...
I macro movimenti politici post-covid, comprendendo i conflitti in essere, hanno smosso una parte predominante di stati verso cambi di obbiettivi politici sul medio/lungo termine. Chiaramente è stato...
Come abbiamo riportato questa mattina, diversi cavi sottomarini nel Mar Rosso sono stati recisi, provocando ritardi nell’accesso a Internet e interruzioni dei servizi in Asia e Medio Oriente. Micros...
