[情資發布]QNAP修補QTS及QuTS Hero存在的多個漏洞說明與建議
情資卡編號:
TCCY-RCDC-200-202405-0000055
事件主旨:
QNAP修補QTS及QuTS Hero存在的多個漏洞說明與建議
內容說明:
QNAP於2024年5月21日發布有關QTS及QuTS Hero作業系統安全公告，修補以下多個漏洞：
CVE-2024-21902：重要資源的權限分配不正確漏洞，可能允許經過身份驗證的使用者，透過網路讀取或修改資源。
CVE-2024-27127：雙重釋放漏洞，可能允許經過驗證的使用者，透過網路執行任意程式碼。
CVE-2024-27128、CVE-2024-27129、CVE-2024-27130：這些有關緩衝區複製且不檢查輸入大小的漏洞，可能允許經過身份驗證的使用者，透過網路執行任意程式碼。
WatchTowr已於5月17日發布其完整詳細資訊，以及關於CVE-2024-27130漏洞的概念驗證（PoC）程式碼，由於不安全地使用No_Support_ACL函數中的「strcpy」函數造成，該函數由share.cgi腳本中的get_file_size請求使用，與外部使用者共用媒體時使用此腳本。要利用此漏洞，攻擊者需要有效的「ssid」參數，該參數是在NAS用戶從其QNAP設備共享檔案時產生的，會導致緩衝區溢位，造成遠端執行程式碼。WatchTowr在GitHub上發布了一個漏洞利用程式，其中演示如何製作一個有效負載，在QNAP設備建立一個watchtowr帳戶，並將其增加到sudoers中以提升權限。
QNAP說明所有QTS 4.x及5.x版本都啟用了記憶體使用位址空間隨機載入（ASLR），可顯著增加攻擊者利用CVE-2024-27130漏洞的難度。因此，將本次漏洞其嚴重程度評估為「中」。儘管如此，QNAP強烈建議用戶盡快更新至QTS 5.1.7 / QuTS Hero h5.1.7，以確保系統受到保護。
風險等級:
2
建議措施:
一、 影響範圍
QTS 5.1.x
QuTS hero h5.1.x
二、 建議
QNAP已針對受影響產品發布以下更新：
QTS 5.1.7.2770 build 20240520及之後版本
QuTS hero h5.1.7.2770 build 20240520及之後版本
建議定期將產品系統更新到最新版本，關於檢查產品支援狀態及漏洞修補相關事項，請參閱以下官方網址說明：
https://www.qnap.com/en/security-advisory/qsa-24-23
https://www.qnap.com/en/news/2024/official-response-from-qnap-psirt-regarding-recent-security-reports-watchtowr-labs?ref=home