WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Hàng chục nghìn thiết bị NAS QNAP SOHO tồn tại lỗ hổng RCE nghiêm trọng chưa được vá
Các nhà nghiên cứu từ công ty SAM Seamless Network cảnh báo 2 lỗ hổng RCE chưa được vá trên các thiết bị lưu trữ gắn chung mạng (NAS) dành cho các văn phòng nhỏ và văn phòng tại nhà (QNAP SOHO).
Các lỗi trên ảnh hưởng đến các QNAP TS-231 SOHO NAS chạy phiên bản firmware 4.3.6.1446, nhưng vẫn có khả năng ảnh hưởng đến các thiết bị QNAP khác dùng chung bản firmware trên. Hãng QNAP cho biết đã ngừng kinh doanh TS-231 NAS và sẽ không cung cấp các bản cập nhật phần mềm cho dòng sản phẩm này.
Theo SAM, hãng này đã không phát hành bất kỳ bản vá nào cho các thiết bị tồn tại lỗ hổng dù một trong hai lỗ hổng đã được báo cáo vào nửa đầu tháng 10/2020. Lỗi thứ hai được báo cáo vào cuối tháng 11/2020.
“Các lỗ hổng trên rất nghiêm trọng vì kẻ tấn công dễ dàng khai thác để hoàn toàn chiếm quyền điều khiển các thiết bị trong mạng, bao gồm quyền truy cập vào dữ liệu được lưu trữ của người dùng”, công ty này cho biết.
Lỗ hổng đầu tiên nằm trong máy chủ web NAS sử dụng cổng TCP 8080 mặc định và tồn tại do quá trình sanitization xử lý không chính xác một số API.
Các lỗ hổng thực thi mã từ xa (RCE) trước đây trong thiết bị QNAP NAS khai thác các trang web không yêu cầu xác thực nhưng thực thi mã từ phía máy chủ. Các nhà nghiên cứu của SAM đã nghiên cứu các tệp cgi (được lưu trữ cục bộ trên thiết bị) để triển khai các trang trên.
Trong quá trình điều tra, các nhà nghiên cứu phát hiện thông qua các truy vấn HTTP đến các trang cgi khác nhau, chủ yếu là những trang không yêu cầu xác thực trước, họ có thể triển khai việc thực thi mã từ xa một cách gián tiếp.
SAM nhấn mạnh nhà cung cấp có thể xử lý các lỗ hổng bảo mật này bằng cách thêm tính năng sanitization vào một số quy trình chủ chốt và các thư viện API.
Lỗ hổng thứ hai được xác định trong máy chủ DLNA, sử dụng cổng TCP 8200 mặc định và xử lý các truy vấn UPNP trên cổng này. SAM cho biết rằng lỗi này cũng có thể bị khai thác để thực thi mã trên một NAS từ xa.
Các nhà nghiên cứu hạn chế cung cấp thông tin chi tiết về các lỗ hổng nghiêm trọng này vì lỗ hổng có khả năng ảnh hưởng đến hàng chục nghìn thiết bị QNAP kết nối Internet.
Theo SAM, hãng này đã không phát hành bất kỳ bản vá nào cho các thiết bị tồn tại lỗ hổng dù một trong hai lỗ hổng đã được báo cáo vào nửa đầu tháng 10/2020. Lỗi thứ hai được báo cáo vào cuối tháng 11/2020.
“Các lỗ hổng trên rất nghiêm trọng vì kẻ tấn công dễ dàng khai thác để hoàn toàn chiếm quyền điều khiển các thiết bị trong mạng, bao gồm quyền truy cập vào dữ liệu được lưu trữ của người dùng”, công ty này cho biết.
Lỗ hổng đầu tiên nằm trong máy chủ web NAS sử dụng cổng TCP 8080 mặc định và tồn tại do quá trình sanitization xử lý không chính xác một số API.
Các lỗ hổng thực thi mã từ xa (RCE) trước đây trong thiết bị QNAP NAS khai thác các trang web không yêu cầu xác thực nhưng thực thi mã từ phía máy chủ. Các nhà nghiên cứu của SAM đã nghiên cứu các tệp cgi (được lưu trữ cục bộ trên thiết bị) để triển khai các trang trên.
Trong quá trình điều tra, các nhà nghiên cứu phát hiện thông qua các truy vấn HTTP đến các trang cgi khác nhau, chủ yếu là những trang không yêu cầu xác thực trước, họ có thể triển khai việc thực thi mã từ xa một cách gián tiếp.
SAM nhấn mạnh nhà cung cấp có thể xử lý các lỗ hổng bảo mật này bằng cách thêm tính năng sanitization vào một số quy trình chủ chốt và các thư viện API.
Lỗ hổng thứ hai được xác định trong máy chủ DLNA, sử dụng cổng TCP 8200 mặc định và xử lý các truy vấn UPNP trên cổng này. SAM cho biết rằng lỗi này cũng có thể bị khai thác để thực thi mã trên một NAS từ xa.
Các nhà nghiên cứu hạn chế cung cấp thông tin chi tiết về các lỗ hổng nghiêm trọng này vì lỗ hổng có khả năng ảnh hưởng đến hàng chục nghìn thiết bị QNAP kết nối Internet.
Theo Securityweek