QNAP advierte a los usuarios que instalen actualizaciones de firmware de QTS y QuTS que aborden una vulnerabilidad de seguridad crítica que podría permitir a atacantes remotos inyectar código malicioso en los dispositivos NAS de QNAP.
La vulnerabilidad se rastrea como CVE-2022-27596 y la empresa la califica como «crítica» (puntuación CVSS v3: 9,8), y afecta a las versiones QTS 5.0.1 y QuTS Hero h5.0.1 del sistema operativo.
«Se informó una vulnerabilidad que afecta a los dispositivos QNAP que ejecutan QTS 5.0.1 y QuTS Hero h5.0.1. Si se explota, esta vulnerabilidad podría permitir que los atacantes remotos inyecten código malicioso», advirtió. Aviso de seguridad de QNAP.
El vendedor no reveló muchos detalles sobre la vulnerabilidad o su explotabilidad, pero Portal del NIST Describe esto como un error de inyección SQL.
Las fallas de inyección SQL permiten a los atacantes enviar solicitudes especialmente diseñadas en dispositivos vulnerables para modificar consultas SQL legítimas para realizar un comportamiento inesperado.
Además, QNAP publicó un archivo JSON que detalla la gravedad de la vulnerabilidad, lo que indica que podría ser explotada en ataques de baja complejidad por parte de atacantes remotos, sin necesidad de interacción del usuario o privilegios en el dispositivo de destino.
QNAP dice que los dispositivos de los usuarios que ejecutan QTS y QuTS Hero deben actualizarse a las siguientes versiones para mantenerse seguros:
- QTS 5.0.1.2234 compilación 20221201 y posterior
- QuTS Hero h5.0.1.2248 compilación 20221215 y posterior
Para actualizar, los clientes inician sesión en sus dispositivos como usuario administrador y «Panel de control → Sistema → Actualización de firmware.»
debajo»Actualización en vivo«Sección, haga clic»Buscar actualizaciones» Seleccione y espere a que se complete la descarga y la instalación.
Como alternativa, los usuarios de QNAP pueden descargar la actualización desde Centro de descargas de QNAP Después de seleccionar el tipo y modelo de producto correcto y aplicarlo manualmente en sus dispositivos.
Consejos de QNAP CVE-2022-27596 no ha sido identificado como explotado activamente en la naturaleza.
Sin embargo, debido a la gravedad de la falla, se recomienda a los usuarios que apliquen las actualizaciones de seguridad disponibles lo antes posible, ya que los actores de amenazas atacan activamente las vulnerabilidades de QNAP.
Los dispositivos QNAP ya son el objetivo de campañas de ransomware en curso Cerrojo Y eCh0raixQué son Conocido por abuso abusivo Para cifrar datos en dispositivos NAS expuestos.
«Orgulloso pionero de Twitter. Analista. Comunicador. Geek web profesional. Especialista en música de por vida».