Tayvanlı ağa bağlı bir depolama (NAS) cihaz üreticisi olan Synology, geçen haftaki PWN2OWN hack yarışması sırasında iki kritik sıfır gününü yamaladı.
Midnight Blue Güvenlik Araştırmacısı Rick de Jager, şirketin Synology fotoğraflarında ve Beestation yazılımı için Beephotos'ta kritik sıfır tıkalı güvenlik açıklarını (CVE-2024-10443 olarak izlendi ve Risk: İstasyon olarak adlandırıldı) buldu.
Synology'nin, kusurların PWN2own İrlanda 2024'teki bir sinoloji BST150-4T cihazını ele geçirmesinden iki gün sonra yayınlanan güvenlik danışmanlarında açıkladığı gibi, güvenlik kusurları uzaktan saldırganların savunmasız NAS cihazlarının çevrimiçi olarak maruz kaldığı uzaktan kod yürütmesini kazanmasını sağlar.
Midnight Blue, "Güvenlik açığı başlangıçta sadece birkaç saat içinde başka bir PWN2OWN sunumunun yerine keşfedildi. Sorun gösteriden hemen sonra sinolojiye açıklandı ve 48 saat içinde kırılganlığı çözen bir yama yapıldı." Dedi.
"Bununla birlikte, kırılganlığın cezai istismar için yüksek bir potansiyeli olduğundan ve milyonlarca cihaz etkilendiğinden, sistem sahiplerini konuyu bilgilendirmek ve derhal hafifletici eylemlerin gerekli olduğu noktasını vurgulamak için bir medya ulaşımı yapıldı."
Synology, aşağıdaki yazılım sürümlerindeki güvenlik açıklarını ele aldığını söylüyor; Ancak, savunmasız sistemlere otomatik olarak uygulanmazlar ve müşterilerin potansiyel gelen saldırıları engellemek için mümkün olan en kısa sürede güncellemeleri önerilir:
Başka bir Tayvanlı NAS cihaz üreticisi olan QNAP, bir hafta içinde hack yarışması sırasında iki kritik sıfır gün daha sömürüldü (şirketin SMB hizmetinde ve hibrid yedekleme senkronizasyonu felaket kurtarma ve veri yedekleme çözümünde).
Synology ve QNAP güvenlik güncellemelerini acele ederken, trendi Micro'nun Sıfır Günü girişimi yarışma sırasında açıklanan hatalar hakkında ayrıntıları yayınlayana ve genellikle yamaları serbest bırakmak için zaman ayırana kadar satıcılara 90 gün verilir.
Bunun nedeni, NAS cihazlarının hem ev hem de kurumsal müşteriler tarafından hassas verileri depolamak için yaygın olarak kullanılmasıdır ve ayrıca genellikle uzaktan erişim için internet erişimine maruz kalırlar. Bununla birlikte, bu, kayıp dosyalara erişim sağlamak için fidye talep ederek sistemleri ihlal etmek, verileri çalmak, dosyaları çalmak, dosyaları çalmak, dosyaları çalmak ve zorlamak için zayıf şifrelerden veya güvenlik açıklarından yararlanan siber suçlular için onları savunmasız hedefler haline getirir.
PWN2OWN İrlanda 2024 sırasında Sinolojiyi Sinolojiyi Sinolojiyi Demo Eden Gece Mavi Güvenlik Araştırmacılarının Siber Güvenlik Gazetecisi Kim Zetter'e (ilk olarak güvenlik güncellemeleri hakkında rapor veren), ABD ve Avrupa'daki polis departmanlarının ağlarında internette maruz kalan SYNOLOGE NAS cihazlarını buldular. , Güney Kore, İtalya ve Kanada'dan kritik altyapı müteahhitleri.
QNAP ve Synology, müşterileri yıllarca çevrimiçi olarak maruz kalan cihazların fidye yazılımı saldırıları tarafından hedeflendiği konusunda uyardı. Örneğin, Haziran 2016'da ilk kez ortaya çıkan ECH0RAix fidye yazılımı (QNAPCrypt olarak da bilinir), Haziran 2019'da (QNAP ve Synology cihazlarına karşı) ve Haziran 2020'de öne çıkan iki büyük ölçekli sistemle bu tür sistemleri düzenli olarak hedeflemektedir.
Daha yakın tarihli saldırı dalgalarında, tehdit aktörleri ayrıca internete maruz kalan NAS cihazlarını şifrelemek için diğer kötü amaçlı yazılım suşlarını (Deadbolt ve Checkmate fidye yazılımları dahil) ve çeşitli güvenlik açıklarını kullandılar.
QNAP Yamaları İkinci Sıfır Gün Pwn2own'da sömürüldü.
Masif Psaux Fidye Yazılımı Saldırısı 22.000 CyberPanel Örneği
QNAP Düzeltmeler NAS Backup Software Zero-Day Pwn2own'da sömürüldü
70'den fazla sıfır gün kusuru bilgisayar korsanlarına Pwn2own İrlanda'da 1 milyon dolar alıyor
QNAP, Synology, Lexmark Cihazları PWN2OWN 3. gününde hacklendi
Kaynak: Bleeping Computer