Il noto produttore di NAS QNAP segnala due vulnerabilità altamente pericolose nei suoi prodotti di rete e un'altra vulnerabilità nel client del dispositivo VPN per Windows. Un attacco remoto è possibile attraverso le lacune - sono disponibili patch adeguate.
Le vulnerabilità annunciate da QNAP interessano molte applicazioni utilizzate all'interno dei prodotti di rete. I servizi operano e funzionano anche in grandi sistemi NAS per il settore delle PMI. Pertanto, oltre ai sistemi NAS o alle telecamere più piccoli e utilizzati privatamente, anche molti prodotti aziendali sono interessati dalle lacune di sicurezza.
Possibile acquisizione remota per attacco DoS
QNAP segnala che una vulnerabilità correlata al consumo incontrollato di risorse interessa diversi sistemi operativi QNAP. Se la vulnerabilità viene sfruttata, gli utenti remoti possono lanciare un attacco Denial of Service (DoS). La vulnerabilità è elencata come CVE-2022-27600. Il valore CVSS esatto non è noto, ma deve essere compreso tra 7.0 e 8.9 per Altamente pericoloso.
La vulnerabilità è già stata risolta nelle seguenti versioni disponibili per l'aggiornamento:
- QTS 5.0.1.2277 Build 20230112 e versioni successive
- QTS 4.5.4.2280 Build 20230112 e versioni successive
- QuTS hero h5.0.1.2277 build 20230112 e versioni successive
- QuTS hero h4.5.4.2374 build 20230417 e versioni successive
- QuTScloud c5.0.1.2374 build 20230419 e successive
- Dispositivo QVR Pro 2.3.1.0476 e versioni successive
Un'altra vulnerabilità nel client dispositivo QVPN
Inoltre, QNAP segnala una vulnerabilità nel suo QVPN Device Client per Windows. La vulnerabilità è anche considerata altamente pericolosa in CVE-2022-27595. Qui, il caricamento delle librerie non è sicuro e può influire sui dispositivi che eseguono QVPN Device Client per Windows. Se sfruttata, questa vulnerabilità potrebbe consentire agli utenti autenticati localmente di eseguire codice caricando la libreria in modo non sicuro. QVPN Device Client per macOS, Android e iOS non è interessato dalla vulnerabilità.
È disponibile anche un aggiornamento per questa lacuna:
QVPN Device Client per Windows, versione 2.0.0.1316 e successive
Altro su QNAP.com