QNAP hat kritische Schwachstellen in seinen Betriebssystemen License Center und QTS/QuTS hero identifiziert und behoben. Dazu gehören CRLF-Injection- und Command-Injection-Schwachstellen, die erhebliche Sicherheitsrisiken darstellen. Öffentliche Analysen zeigen, dass über 4 Millionen QNAP-Assets online exponiert sind, was die Dringlichkeit der Behebung dieser Schwachstellen unterstreicht. Angreifer, die diese Sicherheitslücken ausnutzen, können beliebige Befehle ausführen oder Anwendungsdaten manipulieren, was die Integrität und Vertraulichkeit des Systems gefährden kann.

Produkt	QNAP Turbo NAS
Datum	13.12.2024 17:14:24
Informationen	Im Trend Fix verfügbar

Technische Zusammenfassung

1. Command-Injection-Schwachstelle (CVE-2024-48863):

   • Betroffene Komponente: License Center (Versionen 1.9.x)
   • Schweregrad: Hoch (CVSS 7.7)
   • Auswirkung: Remote-Angreifer können beliebige Befehle ausführen und so die vollständige Kontrolle über das System erlangen.

2. CRLF-Injection-Schwachstellen (CVE-2024-48867, CVE-2024-48868):

   • Betroffene Komponente: QTS und QuTS hero
   • Schweregrad: Hoch
   • Auswirkung: Remote-Angreifer können Anwendungsdaten manipulieren, indem sie eine unsachgemäße Handhabung von CRLF-Sequenzen (Carriage Return und Line Feed) ausnutzen, was potenziell zu unerwartetem Systemverhalten oder Datenmanipulationen führen kann.

3. Command-Injection-Schwachstelle (CVE-2024-50393):

   • Betroffene Komponente: QTS und QuTS hero
   • Schweregrad: Kritisch (CVSS 8.7)
   • Auswirkung: Remote-Angreifer können beliebige Befehle ausführen, was eine vollständige Kompromittierung der betroffenen Systeme ermöglicht.

Empfehlungen

1. Sofortige Updates:

   • License Center: Aktualisieren Sie auf Version 1.9.43 oder höher, um CVE-2024-48863 zu beheben.
   • QTS und QuTS hero: Aktualisieren Sie auf die neuesten verfügbaren Versionen, um CVE-2024-48867, CVE-2024-48868 und CVE-2024-50393 zu beheben.

2. Systemhärtung:

   • Beschränken Sie den Zugriff auf QNAP-Geräte auf vertrauenswürdige IP-Bereiche.
   • Deaktivieren Sie nicht benötigte Dienste, um die Angriffsfläche zu verringern.

[Callforaction-THREAT-Footer]