A fabricante taiwanesa de equipamentos de rede QNAP Systems liberou patches para duas dúzias de vulnerabilidades em seus produtos, incluindo duas falhas de alta gravidade que levam à execução de comandos. Os bugs, rastreados como CVE-2023-45025 e CVE-2023-39297, são descritos como falhas de injeção de comando do sistema operacional que afetam as versões 5.1.xe 4.5.x do QTS, versões do QuTS hero h5.1.x e h4.5.x e QuTScloud versão 5.x.
O primeiro problema, diz a QNAP, pode ser explorado pelos usuários para executar comandos através da rede, sob certas configurações do sistema. O segundo bug requer autenticação para exploração bem-sucedida, afirma a empresa.
A QNAP também anunciou patches para CVE-2023-47567 e CVE-2023-47568, duas falhas exploráveis remotamente no QTS, QuTS hero e QuTScloud que requerem autenticação como administrador para uma exploração bem-sucedida. O CVE-2023-47567, diz a empresa, é uma injeção de comando do sistema operacional, enquanto CVE-2023-47568 é uma vulnerabilidade de injeção de SQL.
Todas as quatro falhas de segurança foram solucionadas nas versões QTS 5.1.4.2596 build 20231128 e 4.5.4.2627 build 20231225, nas versões QuTS hero h5.1.4.2596 build 20231128 e h4.5.4.2626 build 20231225 e no QuTScloud versões c5.1.5.2651.
Veja isso
Mais de 29 mil dispositivos QNAP vulneráveis a injeção de código
Dispositivos da QNAP sob ataque do Deadbolt desde janeiro
A QNAP também resolveu uma terceira vulnerabilidade de alta gravidade, afetando as versões 4.4.xe 4.3.x do Qsync Central, que poderia permitir que usuários autenticados lessem ou modificassem recursos críticos. Rastreado como CVE-2023-47564, o bug é descrito como uma atribuição incorreta de permissão para recursos críticos e pode ser explorado em uma rede. O problema foi resolvido com o lançamento das versões 4.4.0.15 e 4.3.0.11 do Qsync Central.
Além disso, a QNAP lançou patches para diversas vulnerabilidades de gravidade média que podem levar à execução de código, ataques de negação de serviço (DoS), execução de comandos, desvio de restrições, vazamento de dados confidenciais e injeção de código.
A QNAP não menciona nenhum desses bugs sendo explorados em ataques. Informações adicionais sobre as vulnerabilidades podem ser encontradas na página de avisos de segurança da QNAP.
