Tsunami di CVE per QNAP! Aggiornate il vostro NAS, Potrebbe fare il Doppio Gioco!

27 Novembre 2024 07:45

QNAP ha rilasciato aggiornamenti di sicurezza che risolvono una serie di vulnerabilità, incluse tre critiche. Si consiglia vivamente agli utenti di installare patch per evitare rischi.

I problemi che hanno ricevuto maggiore attenzione sono l’applicazione Notes Station 3 utilizzata sui sistemi NAS. La vulnerabilità CVE-2024-38643 con un punteggio CVSS pari a 9,3 consente agli aggressori di ottenere accesso non autorizzato ed eseguire funzioni di sistema senza autorizzazione. Un altro bug, CVE-2024-38645 (CVSS: 9.4), è un problema di falsificazione delle richieste lato server (SSRF) che può portare alla perdita di dati. Questi problemi sono stati risolti nella versione 3.9.7.

Una vulnerabilità critica, CVE-2024-48860 (CVSS 9.5), è stata scoperta nei router QuRouter versione 2.4.x, e consente agli aggressori remoti di eseguire comandi sul sistema. La correzione è disponibile nella versione 2.4.3.106, che risolve anche il bug meno grave CVE-2024-48861 (CVSS: 7.3).

Advertising

Notes Station 3 risolve anche le vulnerabilità di command injection e accesso ai dati CVE-2024-38644 (CVSS: 8.7) e CVE-2024-38646 (CVSS: 8.4). Il loro funzionamento richiede un account utente. Gli score rilasciati sono rispettivamente 8,7 e 8,4.

Ulteriori aggiornamenti hanno interessato i prodotti QNAP AI Core, QuLog Center e i sistemi operativi QTS e QuTS Hero. Tra questi ci sono:

CVE-2024-38647 (CVSS: 7.9): una vulnerabilità relativa alla divulgazione di dati sensibili in QNAP AI Core, che è stata risolta nella versione 3.4.1.
Il problema di path traversal del file system CVE-2024-48862 (CVSS: 8.7) in QuLog Center che è stato risolto nelle versioni 1.7.0.831 e 1.8.0.888.
CVE-2024-50396 (CVSS: 7.7) e CVE-2024-50397 (CVSS: 7.7), errori nei formati stringa in QTS e QuTS Hero, risolti nelle versioni 5.2.1.2930 e h5.2.1.2929.

QNAP consiglia di non connettere dispositivi sensibili direttamente a Internet e di utilizzare una VPN per prevenire attacchi remoti.

📢 Resta aggiornatoTi è piaciuto questo articolo? Rimani sempre informato seguendoci su 🔔 Google News.
Ne stiamo anche discutendo sui nostri social: 💼 LinkedIn, 📘 Facebook e 📸 Instagram.
Hai una notizia o un approfondimento da segnalarci? ✉️ Scrivici

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks