شرکت تایوانی QNAP، بیست و یکم مِی ۲۰۲۴، اصلاحاتی را برای ۵ نقص امنیتی (CVE-2024-21902، CVE-2024-27127، CVE-2024-27128، CVE-2024-27129 و CVE-2024-27130) با شدت متوسط که بر QTS 5.1.x و QuTS hero h5.1.x تأثیر می‌گذارند، منتشر کرد.
برخی از این نقص‌ها می‌توانند به منظور اجرای کد در دستگاه‌های ذخیره سازی متصل به شبکه ([1]NAS) مورد سوء استفاده قرار گیرند.
محصول تحت تأثیر | نسخه پچ شده |
QTS 5.1.x | QTS 5.1.7.2770 build 20240520 و جدیدتر |
QuTS hero h5.1.x | QuTS hero h5.1.7.2770 build 20240520 و جدیدتر |
یک ممیزی امنیتی گسترده از QNAP QTS، نشان داد که این محصول دارای پانزده آسیب پذیری با شدت‌های مختلف است.
یکی آسیب پذیری ها CVE-2024-27130 می‌باشد که یک آسیب پذیری سرریز بافر پشته (stack buffer overflow) در تابع `No_Support_ACL` فایل `share.cgi,` است. این آسیب پذیری می‌تواند در صورت برآورده شدن پیش نیازهای خاص، مهاجم را قادر به اجرای کد از راه دور سازد.
فروشنده این محصول به گزارش‌های آسیب پذیری ارسال شده بین ۱۲ دسامبر ۲۰۲۳ تا ۲۳ ژانویه ۲۰۲۴ با تأخیرهای متعدد پاسخ داده و تاکنون تنها پنج مورد از پانزده نقص امنیتی را برطرف کرده است.
این آسیب پذیری‌ها توسط آزمایشگاه WatchTowr کشف گردید که جزئیات کامل یافته‌های خود را همراه با یک اکسپلویت اثبات مفهوم (PoC) برای CVE-2024-27130 در هفدهم مِی منتشر کرد.
آسیب پذیری‌هایی که توسط تحلیلگران WatchTowr کشف شده است مربوط به اجرای کد، سرریز بافر، خرابی (فساد) حافظه، دور زدن احراز هویت، و باگ XSS می‌باشند که بر امنیت دستگاه‌های ذخیره سازی متصل به شبکه در محیط‌های مختلف استقرار تأثیرگذار هستند.
WatchTowr در مجموع پانزده نقص را فهرست کرده است که به شرح زیر می‌باشند:
- CVE-2023-50361: یک آسیب پذیری مربوط به استفاده ناامن از sprintf در getQpkgDir که از فایل userConfig.cgi فراخوانی شده است.
- CVE-2023-50362: یک آسیب پذیری مربوط به استفاده ناامن از تابع SQLite که توسط پارامتر addPersonalSmtp در فایل userConfig.cgiقابل دسترس می‌باشد.
- CVE-2023-50363: یک آسیب پذیری مربوط به عدم احراز هویت که اجازه می‌دهد تا احراز هویت دو مرحله‌ای برای کاربران دلخواه غیرفعال گردد.
- CVE-2023-50364: هنگام مشاهده لیست فایل‌ها توسط تابع get_dirs در فایل privWizard.cgi، سرریز پشته (Heap ) از طریق نام طولانی دایرکتوری صورت می‌پذیرد.
- CVE-2024-21902: یک آسیب پذیری مربوط به عدم احراز هویت که به تمام کاربران اجازه مشاهده یا پاک کردن لاگ‌های سیستم و انجام اقدامات بیشتر را می‌دهد.
- CVE-2024-27127: یک آسیب پذیری double-free در فایل utilRequest.cgi توسط تابع delete_share است که می‌تواند به کاربران احراز هویت شده اجازه دهد تا کد دلخواه را از طریق شبکه اجرا کنند.
- CVE-2024-27128: یک آسیب پذیری سرریز بافر (buffer overflow) در تابع check_email است که توسط اکشن‌های share_file وsend_share_mail فایل utilRequest.cgi قابل دسترس می‌باشد. این آسیب پذیری می‌تواند به کاربران احراز هویت شده اجازه دهد تا کد دلخواه را از طریق شبکه اجرا کنند.
- CVE-2024-27129: یک آسیب پذیری سرریز بافر (buffer overflow) و استفاده ناامن از strcpy در تابع get_tree فایل utilRequest.cgi است که می‌تواند به کاربران احراز هویت شده اجازه دهد تا کد دلخواه را از طریق شبکه اجرا کنند.
- CVE-2024-27130: یک آسیب پذیری سرریز بافر (buffer overflow) و استفاده ناامن از strcpy در تابع No_Support_ACL است که توسط تابع get_file_در فایل share.cgi، قابل دسترس می‌باشد. این آسیب پذیری می‌تواند به کاربران احراز هویت شده اجازه دهد تا کد دلخواه را از طریق شبکه اجرا کنند.
- CVE-2024-27131: یک آسیب پذیری جعل لاگ از طریق x-forwarded-for است که به کاربران اجازه می‌دهد تا دانلودها را طبق درخواست از منابع دلخواه دریافت و ذخیره کنند. این آسیب پذیری یک انتخاب طراحی است که نیاز به تغییر در مشخصات UI در مرکز QuLog دارد و انتظار می‌رود در QTS 5.2.0 اصلاح شود.
- باگ‌های WT-2023-0050، WT-2024-0004 و WT-2024-0005 در دست بررسی قرار دارند.
- WT-2024-0006: یک آسیب پذیری مربوط به عدم محدودیت نرخ در API احراز هویت است.
- WT-2024-00XX: این آسیب پذیری طبق VDP، تحت تحریم 90 روزه قرار دارد و در نسخه بعدی رسیدگی خواهد شد.
تمام نسخه‌های QTS4.x و QTS5.x دارای تصادفی سازی طرح بندی فضای آدرس ([2]ASLR) فعال هستند که سوء استفاده از آسیب پذیری را برای مهاجم دشوار می‌کند.
QNAP تمام نقص‌هایی را که نیاز به یک حساب معتبر در دستگاه‌های NAS دارند، در QTS 5.1.7.2770 بیلد 20240520 و QuTS hero h5.1.7.2770 بیلد 20240520 برطرف کرده است.
آسیب پذیری CVE-2023-50361 نیز در یک به روزرسانی امنیتی منتشر شده در آوریل 2024، در نسخه‌های QTS 5.1.6.2722 بیلد 20240402 و جدیدتر و QuTS hero h5.1.6.2734 بیلد 20240414 و جدیدتر برطرف شده است.
QNAP در بیانیه‌ای که بیست و یکم مِی منتشر کرد، اعلام نمود که هر گونه نقص مهم و بحرانی گزارش شده را در کمتر از 45 روز آینده پچ خواهد کرد.
[1] network-attached storage
[2] Address Space Layout Randomization
