QNAP corrige un error crítico que permite a los piratas informáticos inyectar código malicioso

QNAP advierte a los clientes que instalen actualizaciones de firmware QTS y QuTS que abordan una vulnerabilidad de seguridad crítica que permite a los atacantes remotos inyectar código malicioso en los dispositivos NAS de QNAP.

La vulnerabilidad se identifica como CVE-2022-27596 y la empresa la clasifica como “crítica” (puntuación CVSS v3: 9,8), lo que afecta a las versiones QTS 5.0.1 y QuTS hero h5.0.1 del sistema operativo.

“Se informó que una vulnerabilidad afecta a los dispositivos QNAP que ejecutan QTS 5.0.1 y QuTS hero h5.0.1. Si se explota, esta vulnerabilidad permite a los atacantes remotos inyectar código malicioso”. Aviso de seguridad de QNAP.

El vendedor no reveló muchos detalles sobre la vulnerabilidad o su potencial de explotación, pero el portal NIST lo describe como una falla de inyección de SQL.

Las fallas de inyección SQL permiten a los atacantes enviar consultas especialmente diseñadas a dispositivos vulnerables para modificar consultas SQL legítimas para realizar un comportamiento inesperado.

Además, QNAP publicó un archivo JSON que describe la gravedad de la vulnerabilidad, lo que indica que es explotable en ataques de baja complejidad por parte de atacantes remotos, sin necesidad de interacción del usuario o privilegios en el dispositivo objetivo.

QNAP recomienda que los dispositivos de los usuarios que se ejecutan en QTS y QuTS hero deben actualizarse a las siguientes versiones para mantenerse seguros:

• QTS 5.0.1.2234 compilación 20221201 y posterior
• QuTS hero h5.0.1.2248 compilación 20221215 y posterior

Para realizar la actualización, los clientes pueden iniciar sesión en sus dispositivos como usuario administrador y navegar a “Panel de control → Sistema → Actualización de firmware.”

Bajo el “Actualización en vivo“, haga clic en el “Buscar actualizaciones” y espere a que se complete la descarga y la instalación.

Como alternativa, los usuarios de QNAP pueden descargar la actualización desde Centro de descargas de QNAP después de seleccionar el tipo y modelo de producto correcto y aplicarlo manualmente en sus dispositivos.

Revisión de QNAP no marcó CVE-2022-27596 como explotado activamente en la naturaleza.

Sin embargo, debido a la gravedad de la falla, se recomienda a los usuarios que apliquen las actualizaciones de seguridad disponibles lo antes posible, ya que los actores de amenazas están apuntando activamente a las vulnerabilidades de QNAP.

Los dispositivos QNAP ya son el objetivo de campañas de ransomware en curso conocidas como Cerrojo y eCh0raixque son conocido por abusar de las vulnerabilidades para cifrar datos en dispositivos NAS expuestos.