Security Affairs 网站披露,NAS 厂商 QNAP(威联通)在安全公告表示, QTS 5.0.1 和 QuTS hero h5.0.1 两款软件中存在严重漏洞 (追踪为 CVE-2022-27596,CVSS v3 评分:9.8)。
据悉,即使远程攻击者没有获得用户交互权限或易受攻击设备上其它权限,也可以轻松利用 CVE-2022-27596 漏洞在受影响的 QNAP 设备上注入恶意代码。
漏洞影响 QTS 5.0.1 和 QuTS hero h5.0.1 版本。
漏洞披露不久后,QNAP 就发布了 QTS 和 QuTS 固件安全更新。目前,以下操作系统版本已修复了 CVE-2022-27596 漏洞。
QTS 5.0.1.2234 build 20221201 及更高版本
QuTS hero h5.0.1.2248 build 20221215 及更高版本
网络安全公司 Censys 对互联网上暴露的 QNAP 设备进行了全面扫描,发现 30000 台设备运行 QTS 5.0.1 和 QuTS hero h5.0.1易受攻击的版本,可能会受到 CVE-2022-27596 漏洞的影响。
此外,Censys 对 67415 台据称运行基于 QNAP 系统的主机进行了检查,但只从 30520 台主机中获得了版本号。在这 30520 台具有版本的主机中,只有 557 台更新了安全补丁,这意味着 29968 台主机可能受到 CVE-2022-27596 漏洞的影响。值得一提的是,其中易感染的系统主要位于意大利(3200)、美国(3149)和台湾(1942)。
易受攻击的版本:
最后,Censys 强调一旦 CVE-2022-27596 漏洞被网络犯罪分子发布并武器化,可能会给成千上万的 QNAP 用户带来麻烦。因此强烈建议用户立刻升级其 QNAP 设备,以免遭受网络攻击。
文章来源:
Over 30k Internet-Exposed QNAP NAS hosts impacted by CVE-2022-27596 flaw
文章来自:https://www.freebuf.com/