Vulnerabilità QNAP QTS zero-day nella funzione Share: pubblicato exploit RCE

Vulnerabilità Zero-Day QNAP QTS

QNAP QTS, il sistema operativo per i dispositivi NAS dell’azienda, ha recentemente subito una valutazione di sicurezza approfondita che ha portato alla scoperta di 15 vulnerabilità di varia gravità. Di queste, 11 rimangono ancora non risolte. Una delle vulnerabilità più critiche è CVE-2024-27130, un buffer overflow a stack non corretto nella funzione ‘No_Support_ACL’ di ‘share.cgi’, che potrebbe consentire l’esecuzione di codice remoto quando vengono soddisfatte determinate precondizioni.

Le vulnerabilità scoperte da WatchTowr Labs riguardano principalmente l’esecuzione di codice, i buffer overflow, la corruzione della memoria, l’elusione dell’autenticazione e le vulnerabilità XSS, con un impatto sulla sicurezza dei dispositivi NAS in diversi ambienti di distribuzione.

WatchTowr ha elencato un totale di 15 vulnerabilità, riassunte di seguito:

• CVE-2023-50361: Utilizzo non sicuro di sprintf in getQpkgDir invocato da userConfig.cgi.
• CVE-2023-50362: Utilizzo non sicuro di funzioni SQLite accessibili tramite il parametro addPersonalSmtp a userConfig.cgi.
• CVE-2023-50363: Mancanza di autenticazione che consente di disabilitare l’autenticazione a due fattori per gli utenti arbitrari.
• CVE-2023-50364: Heap overflow tramite lungo nome directory quando viene visualizzata la lista file tramite la funzione get_dirs di privWizard.cgi.
• CVE-2024-21902: Mancanza di autenticazione che consente a tutti gli utenti di visualizzare o cancellare i log di sistema e di eseguire ulteriori azioni.
• CVE-2024-27127: Double-free in utilRequest.cgi tramite la funzione delete_share.
• CVE-2024-27128: Stack overflow nella funzione check_email, raggiungibile tramite le azioni share_file e send_share_mail di utilRequest.cgi.
• CVE-2024-27129: Utilizzo non sicuro di strcpy nella funzione get_tree di utilRequest.cgi.
• CVE-2024-27130: Utilizzo non sicuro di strcpy nella funzione No_Support_ACL accessibile tramite la funzione get_file_size di share.cgi.
• CVE-2024-27131: Sp spoofing della log tramite x-forwarded-for che consente agli utenti di causare il download registrato come richiesto da posizioni di origine arbitrarie.
• WT-2023-0050: Sotto embargo prolungato a causa di un problema inaspettatamente complesso.
• WT-2024-0004: XSS memorizzato tramite messaggi syslog remoti.
• WT-2024-0005: XSS memorizzato tramite scoperta di dispositivo remoto.
• WT-2024-0006: Mancanza di limitazione di tasso nell’API di autenticazione.
• WT-2024-00XX: Sotto embargo di 90 giorni come da VDP.

Le vulnerabilità interessano QTS, il sistema operativo NAS di QNAP, QuTScloud, la versione VM-ottimizzata di QTS, e QTS hero, una versione specializzata focalizzata sulle prestazioni elevate.

QNAP ha risolto CVE-2023-50361 tramite CVE-2023-50364 in un aggiornamento di sicurezza rilasciato ad aprile 2024, nelle versioni QTS 5.1.6.2722 build 20240402 e successive, e QuTS hero h5.1.6.2734 build 20240414 e successive.

Tuttavia, tutte le altre vulnerabilità scoperte da WatchTowr rimangono non risolte.

Esecuzione di Codice Remoto (RCE) tramite CVE-2024-27130

La vulnerabilità CVE-2024-27130 è causata dall’utilizzo non sicuro della funzione ‘strcpy’ nella funzione ‘No_Support_ACL’. Questa funzione viene utilizzata dalla richiesta get_file_size nel script share.cgi, utilizzato quando si condivide il media con utenti esterni.

Un attaccante può creare una richiesta dannosa con un parametro ‘name’ modificato, causando il buffer overflow che porta all’esecuzione di codice remoto.

Per sfruttare CVE-2024-27130, l’attaccante ha bisogno di un parametro ‘ssid’ valido, che viene generato quando un utente NAS condivide un file dal proprio dispositivo QNAP.

Questo parametro è incluso nell’URL del link di condivisione creato sul dispositivo, quindi un attaccante dovrebbe ingannare un utente per ottenere l’accesso ad esso. Tuttavia, BleepingComputer ha scoperto che gli utenti condividono spesso questi link online, consentendo loro di essere indicizzati e recuperati da una semplice ricerca su Google.

In sintesi, CVE-2024-27130 non è facile da sfruttare, ma il requisito dello ‘ssid’ può essere soddisfatto da attori determinati.

Soluzioni e Best Practice

Per proteggersi dalle vulnerabilità di QNAP QTS, si consiglia di adottare le seguenti best practice:

1. Aggiornamenti regolari: Assicurarsi di installare gli aggiornamenti di sicurezza rilasciati da QNAP il più rapidamente possibile.
2. Limitazione dell’accesso: Limitare l’accesso al dispositivo NAS solo alle reti e agli utenti attendibili.
3. Autenticazione a due fattori: Abilitare l’autenticazione a due fattori per proteggere l’accesso al dispositivo NAS.
4. Condivisione limitata: Evitare di condividere link di condivisione online e limitare la condivisione alle persone di fiducia.
5. Monitoraggio regolare: Monitorare regolarmente il dispositivo NAS per individuare eventuali attività sospette.
6. Backup regolari: Eseguire backup regolari dei dati importanti per prevenire la perdita di dati in caso di incidente di sicurezza.
7. Utilizzo di VPN: Utilizzare una VPN per proteggere la connessione al dispositivo NAS, se possibile.
8. Configurazione del firewall: Configurare il firewall per bloccare il traffico non autorizzato.
9. Utilizzo di password complesse: Utilizzare password complesse e uniche per l’accesso al dispositivo NAS.
10. Riduzione della superficie di attacco: Disabilitare i servizi e le funzionalità non necessari per ridurre la superficie di attacco.

Fonte: https://www.bleepingcomputer.com/news/security/qnap-qts-zero-day-in-share-feature-gets-public-rce-exploit/