Višestruke ranjivosti u QNAP proizvodima
Dana 21. svibnja 2024. godine, tvrtka QNAP objavila je sigurnosno upozorenje kojim se adresiraju višestruke nedostatci, uključujući ranjivost nultog dana (engl. zero-day) u zajedničkoj funkciji QTS-a. Ove ranjivosti omogućuju udaljenim napadačima izvršavanje proizvoljnog kôda.
Preporučuje se žurno ažuriranje zahvaćenih sustava na najnovije dostupne ispravljene verzije radi ublažavanja rizika štetnih posljedica povezanih s navedenim ranjivostima.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2024-27130 (CVSS ocjena 7.2), proizlazi iz nepravilne provjere unosa u zajedničkoj funkciji QTS-a koja omogućuje udaljenim napadačima izvršavanje proizvoljnog kôda. Napadač može iskoristiti ranjivost putem posebno oblikovanog zahtjeva koji uzrokuje prelijevanje međuspremnika (engl. buffer overflow), što dovodi do udaljenog izvršavanja kôda (engl. remote code execution - RCE), a uspješna eksploatacija zahtijeva pristup određenom parametru.
Zahvaćeni proizvodi:
- QTS QTS 5.1.x (ispravljena verzija je QTS 5.1.7.2770 build 20240520 i novije)
- QuTS hero h5.1.x (ispravljena verzija je QuTS hero h5.1.7.2770 build 20240520 i novije)
Preporuke:
Preporučuje se žurno ažuriranje ranjivih proizvoda na najnoviju dostupnu ispravljenu inačicu.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.bleepingcomputer.com/news/security/qnap-qts-zero-day-in-share-feature-gets-public-rce-exploit/
- https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/
- https://www.qnap.com/en/security-advisory/qsa-24-23
[inicijalna objava: 24.05.2024 - 15:51]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima