Критическая уязвимость в Qnap NAS допускала инжекты произвольного кода

Разработчики тайваньской компании QNAP выпустили патчи, устраняющие критическую уязвимость в сетевых хранилищах (NAS), которая могла привести к внедрению произвольного кода. Баг получил статус критического (9,8 балла из 10 возможных по шкале оценки уязвимостей CVSS) и затрагивает QTS 5.0.1 и QuTS hero h5.0.1.

Уязвимость отслеживается под идентификатором CVE-2022-27596, и официальный бюллетень безопасности гласит, что «в случае эксплуатации эта уязвимость позволяет удаленным злоумышленникам внедрить [на устройство] вредоносный код».

Хотя пока производитель не раскрыл технические подробности об этом баге и возможностях его эксплуатации, на портале NIST проблему связывают с SQL-инъекциями. Судя по всему, уязвимость может использоваться удаленными злоумышленниками в ходе весьма простых атак, не требующих взаимодействия с пользователем или высоких привилегий на целевом устройстве.

Уязвимость уже устранена в версиях QTS 5.0.1.2234 build 20221201 и более поздних, а также в QuTS hero h5.0.1.2248 build 20221215 и более поздних. Хотя пока информации об атаках с использованием этого бага нет, пользователям рекомендуют установить обновления как можно скорее.