QNAP załatał luki bezpieczeństwa w oprogramowaniu

W Marcu pismo CERT poinformowało, że w oprogramowaniu dysków sieciowych i systemów do monitoringu firmy QNAP wykryto liczne luki w zabezpieczeniach.

Dyski Qnap wykorzystują zestaw programów narzędziowych, zlokalizowanych w standardowym katalogu cgi-bin. Katalog jest chroniony hasłem, a uruchomienie dowolnego narzędzia jest możliwe po podaniu hasła, które – niestety – otwiera dostęp do wszystkich programów. Wśród nich znajdują się takie jak create_user.cgi oraz pingping.cgi. Ten pierwszy umożliwia atakującemu zdalne utworzenie konta z uprawnieniami administratora, a drugi wykonanie dowolnych poleceń shella, z uprawnieniami roota (na przykład skasowanie zapisu z monitoringu). – napisał Marcin Kaczmarek redaktor itbiznes.pl

Jak twierdzi itbiznes.pl problem do tej pory nie został rozwiązany, dlatego postanowiliśmy zweryfikować to bezpośrednio u producenta. Pan Laszlo Burkus, który jest odpowiedzialny między innymi za sprzedasz rozwiązań firmy QNAP na terenie Polski poinformował nas, że problem został rozwiązany 10 Czerwca. W tym dniu wszyscy  użytkownicy produktów QNAP otrzymali automatyczną aktualizację, która rozwiązała problem, dodatkowo QNAP rozesłał stosowną informację prasową.