Kritická zraniteľnosť v produktoch QNAP HBS 3 Hybrid Backup Sync a SMB Service

Spoločnosť QNAP vydala bezpečnostné aktualizácie svojho nástroja pre zálohovanie a obnovu dát HBS 3 (HYBRID BACKUP SYNC), ktoré opravujú kritickú zero-day zraniteľnosť. CVE-2024-50388 možno zneužiť na vzdialené vykonanie kódu. HBS 3 je používaný v rámci sieťových úložísk QNAP NAS s operačnými systémami QTS a QuTS hero. Aktualizácie opravujú tiež kritickú zero-day zraniteľnosť SMB Service, ktorá umožňuje útoky typu SQL injection a získanie kontroly nad zariadením.
[Aktualizované 31.10.2024]

Zraniteľné systémy:

  • HBS 3 Hybrid Backup Sync vo verziách starších ako 25.1.1.673
  • SMB Service 4.15.x, SMB Service h4.15.x

Opis zraniteľnosti:

CVE-2024-50388 (CVSS skóre 9,8)

Bližšie nešpecifikovanú kritickú zero-day zraniteľnosť HBS3 (HYBRID BACKUP SYNC) s označením CVE-2024-50388 by vzdialený neautentifikovaný útočník mohol zneužiť na injekciu príkazov a vykonanie kódu.

CVE-2024-50387

Kritická zero-day zraniteľnosť v komponente SMB Service, ktorý využívajú sieťové úložiská NAS, spočíva v nedostatočnom overovaní používateľských vstupov. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na realizáciu SQL injekcie a získanie úplnej kontroly nad zariadením (prístupu k root shell).

Zraniteľnosti objavili účastníci hackerskej súťaže PWN2OWN IRELAND 2024.

Možné škody:

  • Vzdialené vykonávanie kódu
  • Prevzatie kontroly nad zariadením

Odporúčania:

Pre CVE-2024-50388 odporúča spoločnosť QNAP vykonať bezodkladnú aktualizáciu zasiahnutých systémov na verziu 25.1.1.673 a vyššie. Presný postup môžete nájsť na stránke výrobcu, v časti „Updating HBS 3 Hybrid Backu Sync“.

Pre CVE-2024-50387 odporúča výrobca aktualizovať SMB Service aspoň na verziu 4.15.002 / h4.15.002.

Zdroje: