La falla critica nei dispositivi NAS di QNAP è stata tracciata come CVE-2022-27596 e consente di iniettare codice malevolo nei dispositivi vulnerabili, senza alcuna interazione da parte degli utenti.
“Questa tipologia di vulnerabilità”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “è molto grave in quanto consente ad un attaccante di poter iniettare codice dannoso nei dispositivi vulnerabili e la conseguente esecuzione di un’ampia gamma di attività malevole”.
Ecco come mitigare il rischio installando il firmware appena rilasciato.
Indice degli argomenti
Falla critica in QNAP: è allarme ransomware
La vulnerabilità critica in QNAP è in grado di aprire le porte ad attacchi da remoto per iniettare codice malevolo sui dispositivi QNAP NAS. Infatti è una vulnerabilità di tipo SQL injection, in grado di modificare le legittime query SQL per indurre a comportamenti inaspettati.
“La compromissione di dispositivi NAS all’interno di un’infrastruttura potrebbe portare alla divulgazione di informazioni sensibili oppure offrire all’attaccante un punto di ingresso nella rete che li ospita”, spiega Paganini.
CVE-2022-27596 è una vulnerabilità critica, catalogata come CVSS v3 (score: 9.8), con impatto sulle versioni QTS 5.0.1 e QuTS hero h5.0.1 del sistema operativo installato sui NAS.
“Ad aggravare la situazione, il fatto che falle come quella in discussione non richiedono interazione da parte dell’utente e sono facilmente sfruttabili. Queste caratteristiche rendono questa tipologia di falla utilizzabile per attacchi automatizzati, su larga scala, ad esempio come attacchi ransomware“.
Come proteggersi
QNAP sta avvertendo i clienti di installare urgentemente gli aggiornamenti dei firmware QTS e QuTS, per risolvere la falla critica nei dispositivi NAS di QNAP.
Bisogna effettuare l’update dei prodotti affetti dalla falla, aggiornandoli all’ultima versione disponibile. Basta seguire le indicazioni nel bollettino di sicurezza, a cui si accede dalla sezione Riferimenti.
Successivamente, è necessario effettuare il log in nei device come amministratori e spostarsi nella sezione Control Panel/System/Firmware Update. Nella sezione Live Update è poi sufficiente cliccare su Check for Update, attendere il download e completare l’installazione del firmware aggiornato per completare l’operazione.
