Kritické zraniteľnosti v produktoch QNAP

Spoločnosť QNAP vydala bezpečnostné aktualizácie na svoje portfólio produktov, ktoré opravujú 8 zraniteľností, z čoho 3 sú označené ako kritické. Kritické zraniteľnosti v produkte Notes Station 3 (CVE-2024-38643, CVE-2024-38645) a routeroch QuRouter (CVE-2024-48860) možno zneužiť na realizáciu SSRF útokov, získanie neoprávneného prístupu k citlivým údajom a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • Notes Station 3 vo verziách starších ako 3.9.7
  • QuRouter vo verziách starších ako 2.4.3.106
  • QNAP AI Core vo verziách starších ako 3.4.1
  • QuLog Center vo verziách starších ako 1.7.0.831
  • QuLog Center vo verziách starších ako 1.8.0.888

Opis zraniteľnosti:

Notes Station 3:

CVE-2024-38643 (CVSS skóre 9,3)

Kritická zraniteľnosť v produkte Notes Station 3 spočíva v chýbajúcej implementácii mechanizmov autentifikácie pre bližšie nešpecifikovanú kritickú funkciu a vzdialený neautentifikovaný útočník by ju mohol zneužiť na získanie neoprávneného prístupu do systému a následné vykonanie špecifickej podmnožiny systémových funkcií.

CVE-2024-38645 (CVSS skóre 9,4)

CVE-2024-38645 by vzdialený autentifikovaný útočník mohol zneužiť na realizáciu SSRF (Server Side Request Forgery) útokov a získanie neoprávneného prístupu k citlivým údajom.

Ostatné zraniteľnosti s označením CVE-2024-38644 a CVE-2024-38646 možno zneužiť na eskaláciu privilégií, injekciu príkazov operačného systému, vykonanie neoprávnených zmien v systéme a získanie neoprávneného prístupu k citlivým údajom.

QuRouter:

CVE-2024-48860 (CVSS skóre 9,5)

Bližšie nešpecifikovanú kritickú zraniteľnosť by vzdialený neautentifikovaný útočník mohol zneužiť na injekciu príkazov operačného systému a získanie úplnej kontroly nad systémom.

Vysoko závažnú zraniteľnosť s označením CVE-2024-48861 by lokálny neautentifikovaný útočník s fyzickým prístupom k zariadeniu mohol zneužiť na injekciu príkazov operačného systému.

QNAP AI Core, QuLog Center:

CVE-2024-38647 v produkte QNAP AI Core možno zneužiť na získanie neoprávneného prístupu k citlivým údajom.

QuLog Center obsahuje zraniteľnosť CVE-2024-48862, ktorú by vzdialený neautentifikovaný útočník mohol zneužiť na čítanie a úpravu obsahu súborov na súborovom systéme.

Možné škody:

  • Vzdialené vykonávanie príkazov
  • Neoprávnený prístup do systému
  • Získanie úplnej kontroly nad systémom
  • Eskalácia privilégií
  • Neoprávnená zmena v systéme
  • Neoprávnený prístup k citlivým údajom

Odporúčania:

Odporúčame vykonať bezodkladnú aktualizáciu zraniteľných systémov na verzie špecifikované výrobcom v odkazoch v sekcii zdroje.

Zdroje: