QNAP hat letzte Woche eine Sicherheitswarnung herausgegeben, in der mehrere Schwachstellen in den Produkten QTS, QuTS hero und QuTScloud behoben wurden. Die Schwachstellen wurden als CVE-2023-47218 und CVE-2023-50358 identifiziert und mit einer mittleren Schwere von 5,8 bewertet. Es wurde jedoch festgestellt, dass insgesamt 289.665 Geräte anfällig und potenziell durch Bedrohungsakteure ausnutzbar sind. Die betroffenen Geräte befinden sich hauptsächlich in Deutschland, den USA, China, Italien, Japan, Taiwan, Frankreich und mehreren anderen Ländern.

Die 0-Day-Schwachstelle in QNAP-Geräten ist auf eine Befehlsinjektion im quick.cgi-Komponent des QNAP QTS-Firmware zurückzuführen, die ohne Authentifizierung zugänglich ist. Das QNAP QTS steht für „QNAP Turbo Network Attached Storage System“.

Die Schwachstelle tritt auf, wenn der HTTP-Parameter todo=set_timeinfo gesetzt wird. Der Request-Handler quick.cgi speichert den Wert des Parameters SPECIFIC_SERVER in der Konfigurationsdatei /tmp/quick/quick_tmp.conf unter dem Namen NTP-Adresse. Anschließend startet die quick.cgi-Komponente die Zeitsynchronisation mit dem ntpdate-Utility, bei dem die Befehlszeilenausführung stattfindet. Dieses Utility liest die NTP-Adresse in der quick_tmp.conf-Datei, die dann über system() ausgeführt wird. Das bedeutet, dass eine nicht vertrauenswürdige Eingabe im Parameter SPECIFIC_SERVER durch die Phasen geleitet und über system() ausgeführt wird, was zu einer willkürlichen Befehlsausführung auf dem anfälligen Gerät führt.

Um diese Schwachstelle zu beheben, können Benutzer die folgenden Schritte durchführen:

  • Testen Sie die URL: https://<NAS-IP-Adresse>:<NAS-Systemport>/cgi-bin/quick/quick.cgi im Browser.
  • Wenn ein HTTP 404-Fehler auftritt, ist das Gerät nicht anfällig. Wenn eine „Seite nicht gefunden“ oder „der Webserver ist derzeit nicht verfügbar“ angezeigt wird, besteht die Möglichkeit einer Anfälligkeit auf dem Gerät.
  • Wenn eine leere Seite mit HTTP 200-Antwort erscheint, werden die folgenden Schritte empfohlen:
  • Aktualisieren Sie Ihr Betriebssystem auf eine der folgenden Versionen oder eine spätere Version: