圈小蛙

QNAP再次通过最新安全更新修复NAS设备中的严重漏洞

继上次出现远程代码执行漏洞后,台湾NAS公司威联通QNAP)又一次发布更新,以修复影响其网络附加存储(NAS)设备的严重安全漏洞,该漏洞可能导致任意代码注入。

该漏洞被追踪为CVE-2022-27596,在CVSS评分表中被评为9.8分(满分10分)。它影响QTS 5.0.1和QuTS hero h5.0.1。

“如果被利用,这个漏洞允许远程攻击者注入恶意代码,”QNAP在周一发布的一份公告中说。

围绕该缺陷的确切技术细节尚不清楚,但NIST国家漏洞数据库(NVD)已将其归类为SQL注入漏洞。

这意味着攻击者可以发送精心构造的SQL查询语句,这样它们就可以被武器化以绕过安全控制,并访问或更改有价值的信息。

“就像可以读取敏感信息一样,也可以通过SQL注入攻击更改甚至删除此信息。”MITRE表示

该漏洞已在QTS 5.0.1.2234 build 20221201及以后的版本,以及QuTS hero h5.0.1.2248 build 20221215及以后的版本中得到解决。

暴露的QNAP设备中的零日漏洞已被DeadBolt勒索软件行为者用来入侵目标网络,因此必须更新到最新版本,以减轻潜在威胁。

要应用更新,建议用户以管理员身份登录QTS或QuTS hero,导航到控制面板>系统>固件更新,然后选择“实时更新”部分下的“检查更新”。

Exit mobile version