30.000 QNAP NAS-systemen missen update voor kritiek beveiligingslek
Dertigduizend NAS-systemen van fabrikant QNAP missen een beveiligingsupdate voor een kritieke kwetsbaarheid waardoor een aanvaller de apparaten op afstand kan overnemen, zo stelt securitybedrijf Censys op basis van eigen onderzoek. Afgelopen maandag waarschuwde QNAP voor een kritiek beveiligingslek in QTS 5.0.1 en QuTS hero h5.0.1, het besturingssysteem dat op de apparaten van de NAS-fabrikant draait.
Volgens Censys gaat het om een SQL-injection kwetsbaarheid waardoor een remote aanvaller kwaadaardige code op het NAS-systeem kan injecteren. Het beveiligingslek vereist geen authenticatie en zou eenvoudig te misbruiken zijn. Het probleem is verholpen in QTS 5.0.1.2234 build 20221201 en nieuwer en QuTS hero h5.0.1.2248 build 20221215 en nieuwer. Censys voerde een scan uit op internet en detecteerde meer dan 67.000 QNAP-systemen.
Van ruim dertigduizend NAS-apparaten was het mogelijk om het versienummer vast te stellen. Dan blijkt dat zo'n 550 QNAP-systemen up-to-date zijn, terwijl bijna 30.000 apparaten de kritieke beveiligingsupdate missen en daardoor risico lopen. De meeste kwetsbare systemen werden aangetroffen in de Verenigde Staten, Italië en Taiwan. In het verleden zijn kwetsbaarheden in de software van QNAP gebruikt voor ransomware-aanvallen op NAS-apparaten. Gebruikers wordt dan ook aangeraden hun systemen te updaten.
Het vervelende is dat ooit, in alle wijsheid, besloten is uit marketingoverwegingen een oplossing in te knutselen waarmee je op afstand kunt verbinden naar dat ding door hem direct aan het internet te hangen. Daar plukt men nu de vruchten van.
Ik gok alleen via de GUI, als je zo'n ding koopt is het niet dat je hem alleen kunt gebruiken door je gegevens achter te laten bij QNAP.
die alleen door betweters van het security.nl forum uitgeschakeld hoeft te worden. Dan heb je geen last van 30000
kwetsbare installaties (hopelijk)...
Bij Synology werkt dat wel goed, die hoor je dan ook niet steeds hierover.
die alleen door betweters van het security.nl forum uitgeschakeld hoeft te worden. Dan heb je geen last van 30000
kwetsbare installaties (hopelijk)...
Bij Synology werkt dat wel goed, die hoor je dan ook niet steeds hierover.
Ik gok alleen via de GUI, als je zo'n ding koopt is het niet dat je hem alleen kunt gebruiken door je gegevens achter te laten bij QNAP.
Het is aan de eigenaar/gebruiker zelf om dat naar eigen goeddunken te configureren:
- informatie via GUI en/of via mail
- automatische download en/of automatische installatie van kritieke updates aan/uit
In basis wel goed dat dit zelf in te stellen is; nieuwe releases/updates blinken nou niet altijd uit in stabiliteit (niet specifiek bij QNAP overigens), dus soms wil je liever even wachten. In dat geval kan je bijvoorbeeld de toegang via internet tijdelijk uitschakelen tot er een stabiele fix beschikbaar is.
Ik vrees echter dat veel eigenaren/gebruikers nauwelijks weten wat ze aan het doen zijn en dus maar zo'n beetje in het wilde weg opties aan- of uitzetten. Of alles uitzetten dat als 'lastig' ervaren wordt. Dan krijg je dit soort ellende. Eigen schuld dikke bult hoor, in dat geval, geen medelijden mee.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
No more ransomware! De nieuwe Ransomware Awareness Experience training biedt een realistische maar ook leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer wordt van ransomware en leren meteen hoe een besmetting kan worden voorkomen! Zoals altijd met realistische scenario's en actuele voorbeelden.
Security Trainer
Heb jij net als de rest van ons een passie voor cybersecurity en wil je in een team werken met mensen die minstens zo enthousiast en gedreven zijn als jij? Lijkt het je tof om wereldwijd security trainingen te geven en je security kennis over te dragen? Dan zijn wij op zoek naar jou!
Are you ready for a challenge?
Full Stack Developer (Python)
Lijkt het jou leuk om je coding skills in te zetten voor het ontwikkelen van de latest en greatest security challenges? Certified Secure maakt gebruik van de latest tech-stacks, wij bouwen praktisch alles in Python, maar soms ook in Java, C, Assembly of PHP.