Ağa bağlı depolama (NAS) Maker QNAP, QVR Video Yönetim Sistemini, keyfi komutları çalıştırmak için sömürülebilen iki kritik ciddiyet sorununa karşı yamaladı.
QNAP, QVR yazılımını, desteklenen IP kameraları ile birleştiğinde gerçek zamanlı video izleme, kayıt, oynatma ve alarm bildirimlerine izin veren profesyonel bir çözüm olarak tanıtıyor.
QNAP, bugün, video gözetimini yönetmek için QVR yazılımında üç komuta enjeksiyon güvenlik açıklığını düzelttiğini açıkladı, ikisi 10'dan 9.8 oranında kritik bir ciddiyet skoru alıyor.
CVE-2021-34351 ve CVE-2021-34348 olarak izlenir, kritik hata çifti, uzaktan bir saldırganın, cihazın tam kontrolünü almaya yol açabilecek savunmasız sistemlerde komutları çalıştırmasına izin verebilir.
Bu iki güvenlik sorunu dışında, QNAP, CVE-2021-34349 olarak izlenen bir tane daha düzeltildi. Aynı sınıftan ancak daha düşük bir ciddiyet skoru, 10 üzerinden 7.2 ile.
Şiddeti farkı, hatalardan yararlanmak için gereken ayrıcalıklardan kaynaklanmaktadır: kritik olanlar için hiçbiri gerekmez, bir saldırgan yüksek ciddiyet sorununu kullanan bir saldırgan yüksek ayrıcalıklara ihtiyaç duyar.
QNAP, iki kritik kırılganlığın, yaşamın sonuna (EOL) ulaşan QVR'yi çalıştıran belirli ürünleri etkilediğini belirtti. Cihazlar artık desteklenmemiş olsa bile, şirketten bir yazılım güncellemesini serbest bırakmasını isteyen birçok müşteri hala bunları kullanıyor (QVR 5.1.5 Build 20210803).
"İki komuta enjeksiyonu kırılganlığının QVR'yi çalıştıran belirli QNAP EOL cihazlarını etkilediği bildirildi. Eğer sömürülürse, bu güvenlik açıkları uzaktan saldırganların keyfi komutları çalıştırmasına izin verir "- QNAP
Hatalardan herhangi biri sömürülmediyse belirsizdir. BleepingComputer, bu konuda netleştirme için QNAP'a ulaştı ve şu anda bir cevap bekliyor.
Cihazların çeşitli boyutların işletmeleri (işletme, SMB, SOHO) işletmelerinin video gözetimi için kullanılması şartıyla, tehdit aktörleri bu güvenlik açıklarından yararlanmak için teşvik edilebilir.
Bu yılın başlarında, Qlocker Ransomware olarak bilinen şeyden gelen bir kampanyada, 7-Zip Arşivi Yardımcı Programını kullanarak dosyaları şifrelemek için QNAP NAS aygıtlarında bir Cybercriminal Gang, Güvenlik Açığı (Hardcoded Kimlik Bilgileri) kaldırdı.
Mağdurlar, çoğunlukla tüketiciler ve küçük-orta-orta-işletme sahipleri, sadece 500 $ 'lık dosya kurtarma için 500 $' ı ödemeye istekli olduğu çok küçük bir fiyata soruldu.
Qlocker Ransomware'in arkasındaki aktörlerin, mağdurlarından toplanan fidyede sadece beş gün içinde en az 260.000 dolar kazandığı tahmin edilmektedir.
Mart ayında geri döndü, bilgisayar korsanları, Verkada tarafından yönetilen ve ABD'de büyük isimli şirketler (Tesla, Equinox), sağlık klinikleri, hapishaneler ve bankalar tarafından yaygın olarak kullanılan canlı gözetim kameralarına erişim kazandıktan sonra görüntüleri sızdırdı.
Yeni Windows Güvenlik Güncellemeleri Ağ Yazdırmayı Break
QNAP, NAS cihazlarını etkileyen OpenSSL hataları için yamalar üzerinde çalışır.
Fortinet, uzak sunucu devralmasına izin veren sıfır gün yamalı gecikmeler
Finfisher Kötü Amaçlı Yazılım UEFI Bootkit ile Windows Boot Manager Hijacks
Ransomware'deki hafta - 24 Eylül 2021 - Crypto Hedefleme
Kaynak: Bleeping Computer