Der bekannte NAS-Hersteller QNAP meldet zwei hochgefährliche Sicherheitslücken in seinen Netzwerkprodukten und eine weitere Sicherheitslücke in seinem VPN-Device Client für Windows. Durch die Lücken ist ein Remote-Angriff möglich – passende Patches stehen bereit.
Die durch QNAP bekannt gegebenen Sicherheitslücken betreffen viele Anwendungen die innerhalb der Netzwerkprodukte genutzt werden. Die Services betreiben und arbeiten auch in großen NAS-Systemen für den KMU-Bereich. Daher sind neben kleineren privat genutzten NAS-Systemen oder Kameras auch viele Unternehmensprodukte von den Sicherheitslücken betroffen.
Remote-Übernahme für DoS-Angriff möglich
QNAP berichtet, dass eine Sicherheitslücke bezüglich des unkontrollierten Ressourcenverbrauchs mehrere QNAP-Betriebssysteme betrifft. Wenn die Sicherheitslücke ausgenutzt wird, können Remote-Benutzer einen Denial-of-Service-Angriff (DoS) starten. Die Lücke wird als CVE-2022-27600 aufgeführt. Der genaue CVSS-Wert ist nicht bekannt, muss aber bei Hochgefährlich im Bereich 7.0 bis 8.9 liegen.
In den folgenden Versionen, die zum Update bereit stehen, wurde die Schwachstelle bereits behoben:
- QTS 5.0.1.2277 Build 20230112 und höher
- QTS 4.5.4.2280 Build 20230112 und höher
- QuTS hero h5.0.1.2277 Build 20230112 und höher
- QuTS hero h4.5.4.2374 Build 20230417 und höher
- QuTScloud c5.0.1.2374 Build 20230419 und höher
- QVR Pro Appliance 2.3.1.0476 und höher
Weitere Lücke im QVPN Device Client
Weiterhin meldet QNAP eine Schwachstelle in seinem QVPN Device Client für Windows. Die Lücke gilt ebenfalls als hochgefährlich unter der CVE-2022-27595. Dort ist das Laden von Bibliotheken unsicher und kann sich auf Geräte auswirkt, auf denen der QVPN Device Client für Windows ausgeführt wird. Wenn diese Sicherheitslücke ausgenutzt wird, können lokal authentifizierte Benutzer durch unsicheres Laden der Bibliothek Code ausführen. Der QVPN Device Client für macOS, Android und iOS ist von der Lücke nicht betroffen.
Auch für diese Lücke steht ein Update bereit:
QVPN Device Client für Windows, Version 2.0.0.1316 und höher
Mehr bei QNAP.com