یک آسیب‌پذیری بحرانی با شناسه CVE-2024-53691 و شدت 8.7 درQNAP شناسایی شده است. مهاجم با بهره‌برداری از این نقص امنیتی می‌تواند از راه دور دسترسی کاربر را بدست بیاورد و از سیستم فایل به مکان‌های ناخواسته عبور کند. مهاجم در نهایت با افزایش سطح دسترسی از یک کاربر معمولی، پرونده های سیستم را مشاهده و اطلاعات حساس را از آن استخراج می‌کند.
براساس بردار حمله این آسیب‌پذیری CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N)، به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز ندارد (AC:L)، حمله موفقیت‌آمیز به شرایط استقرار و اجرای سیستم آسیب‌پذیر بستگی ندارد (AT:N)، برای انجام حمله به حساب کاربری با سطح دسترسی پایین نیاز است و به تعامل با کاربر نیاز نیست(PR:L/UI:N)، محرمانگی کاملا از بین می‌رود و در نتیجه تمام اطلاعات موجود در سیستم آسیب‌پذیر در اختیار مهاجم قرار می‌گیرد (VC:H)، از دست دادن کامل یکپارچگی و پروتکل‌های امنیتی وجود دارد (VI:H)، دسترس‌پذیری به طور کامل از دست می‌رود و در نتیجه مهاجم می‌تواند منابع موجود در سیستم آسیب‌پذیر را از بین ببرد (VA:H)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (SC:N)، از دست دادن یکپارچگی در سیستم دیگری وجود ندارد، یا اینکه تنها به سیستم آسیب‌پذیر محدود می‌شود (SI:N)، هیچ تاثیری بر در دسترس بودن سیستم دیگری وجود ندارد یا اینکه تنها به سیستم آسیب‌پذیر محدود می‌شود (SA:N).
محصولات تحت تأثیر
این آسیب‌پذیری نسخه‌های زیر را تحت تاثیر قرار می‌دهد:
- نسخه QTS 5.1.x
- نسخه QuTS hero h5.1.x
توصیه امنیتی
به کاربران توصیه می‌شود جهت رفع این نقص امنیتی نسخه‌های آسیب‌پذیر را به نسخه‌های زیر به روزرسانی کنند:
- نسخه QTS 5.1.x را به نسخه QTS 5.2.0.2802 build 20240620 و بالاتر ارتقاء دهید.
- نسخه QuTS hero h5.1.x را به نسخه QuTS hero h5.2.0.2802 build 20240620 ارتقاء دهید.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2024-53691
[2]https://www.qnap.com/en/security-advisory/qsa-24-2
- 216