Segundo um recente alerta da própria empresa, um Bug grave do OpenSSL afeta a maioria dos dispositivos NAS da QNAP.
A fabricante de armazenamento conectado à rede (NAS) QNAP, com sede em Taiwan, alertou na terça-feira que a maioria de seus dispositivos NAS é afetada por um bug OpenSSL de alta gravidade divulgado há duas semanas.
Bug grave do OpenSSL afeta a maioria dos dispositivos NAS da QNAP
Os invasores podem explorar a vulnerabilidade, rastreada como CVE-2022-0778, para acionar um estado de negação de serviço e travar remotamente dispositivos não corrigidos.
Embora um patch tenha sido lançado há duas semanas, quando o bug foi divulgado publicamente, a QNAP explicou que seus clientes teriam que esperar até que a empresa lançasse suas próprias atualizações de segurança.
Ele também pediu aos clientes que instalem quaisquer patches de segurança lançados assim que forem lançados para bloquear possíveis ataques.
“Foi relatado que uma vulnerabilidade de loop infinito no OpenSSL afeta certos QNAP NAS. Se explorada, a vulnerabilidade permite que os invasores conduzam ataques de negação de serviço”, disse a QNAP.
“Atualmente, não há mitigação disponível para esta vulnerabilidade. Recomendamos que os usuários verifiquem e instalem as atualizações de segurança assim que estiverem disponíveis.”
A empresa diz que a falha de segurança afeta dispositivos que executam várias versões do QTS, QuTS hero e QuTScloud, incluindo:
- QTS 5.0.xe posterior
- QTS 4.5.4 e posterior
- QTS 4.3.6 e posterior
- QTS 4.3.4 e posterior
- QTS 4.3.3 e posterior
- QTS 4.2.6 e posterior
- QuTS hero h5.0.xe posterior
- QuTS herói h4.5.4 e posterior
- QuTScloud c5.0.x
Mesmo que a equipe do OpenSSL tenha dito ao BleepingComputer que eles não estão cientes da exploração ativa do CVE-2022-0778, um aviso de segurança emitido pela agência nacional de segurança cibernética da Itália, CSIRT, o marcou como sendo abusado na natureza.
“A falha não é muito difícil de explorar, mas o impacto é limitado ao DoS. O cenário mais comum em que a exploração dessa falha seria um problema seria um cliente TLS acessando um servidor malicioso que fornece um certificado problemático”, um O porta-voz do OpenSSL disse ao site BleepingComputer.
“Os servidores TLS podem ser afetados se estiverem usando autenticação de cliente (que é uma configuração menos comum) e um cliente mal-intencionado tentar se conectar a ele. É difícil adivinhar até que ponto isso se traduzirá em exploração ativa.”
Embora haja informações mistas sobre a exploração contínua, os agentes de ameaças provavelmente podem desenvolver uma exploração utilizável e implantá-la em ataques se encontrarem alvos atraentes para dispositivos NAS, especialmente porque podem explorar a falha em ataques de baixa complexidade sem interação do usuário.
A QNAP também está trabalhando para corrigir falhas de segurança deixadas por uma falha de segurança Linux de alta gravidade chamada Dirty Pipe, permitindo que os agentes de ameaças com acesso local obtenham privilégios de root em dispositivos que executam QTS 5.0.x, QuTScloud c5.0.x e QuTS hero h5 .0.x.
Desde o aviso inicial de duas semanas atrás, a QNAP corrigiu o bug do Dirty Pipe para dispositivos executando o QuTS hero h5.0.0.1949 build 20220215 e posterior e prometeu lançar patches para QTS e QuTScloud o mais rápido possível.
