QNAP dopo le critiche rilascia le patch di sicurezza: “Ci impegniamo a migliorare i nostri processi”

Qnap ha rilasciato correzioni per diverse vulnerabilità nel suo NAS, incluso un bug pericoloso associato all’esecuzione di codice arbitrario, per il quale l’exploit PoC è stato pubblicato la scorsa settimana.

Ricordiamo che recentemente gli analisti di WatchTowr Labs hanno affermato di aver condotto un ampio audit di sicurezza del sistema operativo Qnap QTS (QuTSCLoud e QTS Hero), utilizzato nel NAS dell’azienda. Di conseguenza sono state scoperte 15 vulnerabilità e al momento della pubblicazione del rapporto degli specialisti 11 di esse non erano state corrette.

Uno dei problemi più pericolosi riscontrati dai ricercatori è stato il CVE-2024-27130. Si tratta di una vulnerabilità di buffer overflow dello stack correlata alla funzione No_Support_ACL in share.cgi, che consentiva agli aggressori di eseguire l’esecuzione di codice in modalità remota se venivano soddisfatte determinate condizioni.

Ancora peggio, gli esperti hanno allegato al loro rapporto un exploit PoC per CVE-2024-27130 e hanno criticato Qnap per la lentezza nel rilasciare le correzioni. Il fatto è che gli esperti hanno avvertito gli sviluppatori dei bug nel periodo da dicembre 2023 a gennaio 2024, ovvero hanno aspettato anche più di 90 giorni prima di rivelare i problemi.

Questa settimana, Qnap ha finalmente risolto il problema rilasciando QTS 5.1.7.2770 build 20240520 e QuTS hero h5.1.7.2770 build 20240520, che risolvono anche altre quattro vulnerabilità segnalate da WatchTowr.

Allo stesso tempo, l’azienda ha sottolineato che lo sfruttamento di CVE-2024-27130 era possibile solo su dispositivi con la protezione ASLR (Address Space Layout Randomization) disabilitata e ASLR è abilitato per impostazione predefinita su tutti i dispositivi Qnap con QTS 4.x e 5. .X. Cioè, lo sfruttamento della vulnerabilità era difficile e improbabile.

È stato riferito che altri due bug rilevati da WatchTowr verranno risolti “presto”. Inoltre, Qnap non ha ancora confermato la presenza di altre tre vulnerabilità.

Qnap ha anche risposto alle critiche dei ricercatori, promettendo di ottimizzare i processi e accelerare il lavoro sulle patch.

“Siamo spiacenti per eventuali problemi di coordinamento che potrebbero essere sorti riguardo al programma di rilascio del prodotto e alla divulgazione di queste vulnerabilità. Stiamo facendo sforzi per migliorare i nostri processi e i meccanismi di interazione in futuro per prevenire il ripetersi di problemi simili”, ha affermato Qnap. “In futuro, ci impegneremo a risolvere le vulnerabilità classificate come elevate o critiche e a rilasciare le patch entro 45 giorni.”

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research