La soci\u00e9t\u00e9 ta\u00efwanaise QNAP a publi\u00e9 des mises \u00e0 jour pour rem\u00e9dier \u00e0 une faille de s\u00e9curit\u00e9 critique affectant ses p\u00e9riph\u00e9riques de stockage en r\u00e9seau (NAS) qui pourrait entra\u00eener une injection de code arbitraire.<\/p>\n
Suivi comme CVE-2022-27596<\/strong><\/a>, la vuln\u00e9rabilit\u00e9 est not\u00e9e 9,8 sur un maximum de 10 sur l’\u00e9chelle de notation CVSS. Cela affecte QTS 5.0.1 et QuTS hero h5.0.1.<\/p>\n \u00ab Si elle est exploit\u00e9e, cette vuln\u00e9rabilit\u00e9 permet aux attaquants distants d’injecter du code malveillant \u00bb, QNAP m’a dit<\/a> dans un avis publi\u00e9 lundi.<\/p>\n Les sp\u00e9cificit\u00e9s techniques exactes entourant la faille ne sont pas claires, mais la base de donn\u00e9es nationale des vuln\u00e9rabilit\u00e9s (NVD) du NIST l’a class\u00e9e comme une vuln\u00e9rabilit\u00e9 d’injection SQL.<\/p>\n Cela signifie qu’un attaquant pourrait envoyer des requ\u00eates SQL sp\u00e9cialement con\u00e7ues de sorte qu’elles pourraient \u00eatre militaris\u00e9es pour contourner les contr\u00f4les de s\u00e9curit\u00e9 et acc\u00e9der ou modifier des informations pr\u00e9cieuses.<\/p>\n “Tout comme il peut \u00eatre possible de lire des informations sensibles, il est \u00e9galement possible d’apporter des modifications ou m\u00eame de supprimer ces informations avec une attaque par injection SQL”, selon MITRE<\/a>.<\/p>\n La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions QTS 5.0.1.2234 build 20221201 et ult\u00e9rieures, ainsi que QuTS hero h5.0.1.2248 build 20221215 et ult\u00e9rieures.<\/p>\n Les vuln\u00e9rabilit\u00e9s zero-day des appareils QNAP expos\u00e9s ont \u00e9t\u00e9 exploit\u00e9es par DeadBolt ran\u00e7ongiciel<\/a> acteurs pour p\u00e9n\u00e9trer les r\u00e9seaux cibles, ce qui rend essentiel la mise \u00e0 jour vers la derni\u00e8re version afin d’att\u00e9nuer les menaces potentielles.<\/p>\n Pour appliquer les mises \u00e0 jour, il est conseill\u00e9 aux utilisateurs de se connecter \u00e0 QTS ou QuTS hero en tant qu’administrateur, d’acc\u00e9der \u00e0 Panneau de configuration > Syst\u00e8me > Mise \u00e0 jour du micrologiciel et de s\u00e9lectionner \u00ab V\u00e9rifier les mises \u00e0 jour \u00bb dans la section \u00ab Mise \u00e0 jour en direct \u00bb.<\/p>\n <\/p>\n