Tayvanlı şirket QNAP, ağa bağlı depolama (NAS) cihazlarını etkileyen ve rastgele kod enjeksiyonuna yol açabilecek kritik bir güvenlik açığını gidermek için güncellemeler yayınladı.
şu şekilde izlendi: CVE-2022-27596güvenlik açığı, CVSS puanlama ölçeğinde maksimum 10 üzerinden 9,8 olarak derecelendirilmiştir. QTS 5.0.1 ve QuTS hero h5.0.1’i etkiler.
“Bu güvenlik açığından yararlanılırsa, uzaktaki saldırganların kötü amaçlı kod enjekte etmesine olanak tanır,” QNAP dedim Pazartesi günü yayınlanan bir danışma belgesinde.
Kusuru çevreleyen kesin teknik ayrıntılar net değil, ancak NIST Ulusal Güvenlik Açığı Veritabanı (NVD) bunu bir SQL enjeksiyon güvenlik açığı olarak sınıflandırdı.
Bu, bir saldırganın güvenlik kontrollerini atlamak ve değerli bilgilere erişmek veya bunları değiştirmek için silah haline getirilebilecekleri şekilde özel hazırlanmış SQL sorguları gönderebileceği anlamına gelir.
“Hassas bilgileri okumak mümkün olabileceği gibi, bir SQL enjeksiyon saldırısı ile bu bilgileri değiştirmek ve hatta silmek de mümkündür.” GÖSTERGE.
Güvenlik açığı, QTS 5.0.1.2234 yapı 20221201 ve sonraki sürümlerin yanı sıra QuTS hero h5.0.1.2248 yapı 20221215 ve sonraki sürümlerde giderilmiştir.
Açığa çıkan QNAP cihazlarındaki sıfır gün güvenlik açıkları DeadBolt tarafından kullanılmaya başlandı fidye yazılımı Bu, olası tehditleri azaltmak için en son sürüme güncellemeyi zorunlu hale getirir.
Güncellemeleri uygulamak için, kullanıcıların QTS veya QuTS hero’da yönetici olarak oturum açmaları, Denetim Masası > Sistem > Donanım Yazılımı Güncellemesi’ne gitmeleri ve “Canlı Güncelleme” bölümü altında “Güncellemeyi Kontrol Et”i seçmeleri önerilir.