QNAP, fabricante de almacenamiento conectado a la red (NAS) con sede en Taiwán, ha abordado una vulnerabilidad de seguridad crítica que permite a los atacantes comprometer la seguridad de los dispositivos NAS vulnerables.
El control de acceso indebido vulnerabilidad rastreado como CVE-2.021 a 28.809 fue encontrado por Ta-Lun Yen TXOne de la IO ICS Research Labs / Seguridad en HBS 3 Sincronización de copia de seguridad híbrido , la recuperación de desastres y los datos de QNAP solución de copia de seguridad.
El problema de seguridad es causado por un software defectuoso que no restringe correctamente a los atacantes el acceso a los recursos del sistema, lo que les permite escalar privilegios, ejecutar comandos de forma remota o leer información confidencial sin autorización.
QNAP dice que la falla de seguridad ya está corregida en las siguientes versiones de HBS y aconseja a los clientes que actualicen la aplicación a la última versión lanzada:
- QTS 4.3.6: HBS 3 v3.0.210507 y posterior
- QTS 4.3.4: HBS 3 v3.0.210506 y posterior
- QTS 4.3.3: HBS 3 v3.0.210506 y posterior
Sin embargo, aunque QNAP publicó el aviso de seguridad anunciando que CVE-2021-28809 se corrigió hoy, las notas de la versión de la aplicación no enumeran ninguna actualización de seguridad desde el 14 de mayo de 2021.
Según la empresa, los dispositivos NAS de QNAP que ejecutan QTS 4.5.x con HBS 3 v16.x no se ven afectados por esta vulnerabilidad de seguridad y no están expuestos a ataques.
Cuenta de puerta trasera de HBS explotada por Qlocker ransomware
QNAP solucionó otra vulnerabilidad de seguridad crítica encontrada en la aplicación de respaldo y recuperación ante desastres HBS 3 Hybrid Backup Sync en abril.
La falla de la cuenta de puerta trasera , descrita inicialmente por la compañía como «credenciales codificadas» y luego como una «autorización incorrecta», proporcionó una cuenta de puerta trasera que permitió a los operadores de ransomware Qlocker cifrar dispositivos de almacenamiento conectado a la red (NAS) expuestos a Internet .
A partir de al menos el 19 de abril, Qlocker comenzó a apuntar a los dispositivos QNAP como parte de una campaña masiva , implementando cargas útiles de ransomware que movían los archivos de las víctimas a archivos 7zip protegidos con contraseña y solicitaban rescates.
Como informó BleepingComputer, la banda de ransomware ganó alrededor de $ 260,000 en solo cinco días al exigir rescates de 0.01 bitcoins (por un valor aproximado de $ 500 en ese momento).
El mismo mes, QNAP instó a sus clientes a proteger sus dispositivos NAS de los ataques de ransomware Agelocker dirigidos a sus datos y, dos semanas después, de una campaña de ransomware eCh0raix .
Los dispositivos QNAP fueron atacados previamente por eCh0raix ransomware (también conocido como QNAPCrypt) durante junio de 2019 y junio de 2020 .
Se recomienda a los clientes que deseen proteger sus dispositivos NAS de los ataques entrantes que sigan estas mejores prácticas para mejorar la seguridad del NAS.
Fuente: www.bleepingcomputer.com
