NCSC Advies: Kwetsbaarheden Verholpen in QNAP Besturingssystemen

Introductie: Het Nationaal Cyber Security Centrum (NCSC) heeft een beveiligingsadvies uitgegeven met betrekking tot verbeterde veiligheid in de besturingssystemen van QNAP. Deze upgrades zijn essentieel voor bedrijven die QNAP-producten inzetten in hun netwerken, aangezien ze meerdere kritieke kwetsbaarheden aanpakken.

Kwetsbaarheden en Technische Beschrijving
QNAP heeft diverse kwetsbaarheden in hun besturingssystemen, zoals QTS en QuTS hero, aangepakt. Belangrijke verbeteringen zijn:

• Onjuiste neutralisatie van speciale elementen bij OS commando’s (bekend als ‘OS Command Injection’).
• Gebruiken van extern gecontroleerde opmaakstrings.
• Onjuiste omgang met URL-codering (met name hexadecimale codering).
• Onjuiste neutralisatie van CRLF-sequenties (‘CRLF Injection’).
• Gebrekkige authenticatiepraktijken.
• Onjuiste certificaatvalidatie.

Deze kwetsbaarheden lieten aanvallers potentieel toe om ongeautoriseerde toegang te krijgen, systeemfuncties te verstoren en zelfs willekeurige opdrachten uit te voeren op Network Attached Storage (NAS) apparaten, waardoor er een aanzienlijk beveiligingsrisico ontstond voor gevoelige data.

Impact en Aanspreekbaarheid
Het NCSC-besturingsadvies categoriseert het risico van misbruik van deze kwetsbaarheden als medium voor kans en hoog voor schade. Dit betekent dat de kwetsbaarheden een aanzienlijke impact kunnen hebben op de veiligheid en integriteit van systemen die deze QNAP-besturingssystemen draaien.

Betrokken Platforms en Producten
De kwetsbaarheden hebben betrekking op de besturingssystemen QTS en QuTS hero, ontwikkeld door QNAP Systems Inc. Specifiek zijn de verbeteringen van invloed op de volgende producten:

• QNAP QTS
• QNAP QuTS Hero

Oplossingen en Aanbevelingen
Om deze beveiligingskwesties op te lossen, heeft QNAP nieuwere versies van hun besturingssysteem uitgebracht. Het wordt sterk aanbevolen voor organisaties die QNAP-producten gebruiken om direct hun systemen te updaten naar de nieuwste versies. Dit helpt bij het versterken van de algehele beveiliging en elimineert kwetsbaarheden. Voor meer gedetailleerde instructies over de updates, kunt u de officiële QNAP-beveiligingsmelding raadplegen.

CVE-Referenties
De onderstaande CVE-identificaties geven specifieke kwetsbaarheden weer die zijn aangepakt:

• CVE-2024-48859
• CVE-2024-48865
• CVE-2024-48866
• CVE-2024-48867
• CVE-2024-48868
• CVE-2024-50393
• CVE-2024-50402
• CVE-2024-50403

Vrijwaring van Aansprakelijkheid
Het gebruik van deze beveiligingsadviezen impliceert akkoord met de voorwaarden zoals vermeld door het NCSC. Hoewel het NCSC ernaar streeft om nauwkeurige en up-to-date informatie te verstrekken, kunnen er geen rechten worden ontleend aan de informatie in deze advisory. NCSC en de Nederlandse Staat zijn niet verantwoordelijk voor eventuele schade die voortkomt uit het gebruik of de onmogelijkheid tot het gebruik van deze adviezen. Deze advisory valt onder Nederlands recht en geschillen worden behandeld door de bevoegde rechtbank in Den Haag.

Door op de hoogte te blijven van de recente updates en kwetsbaarheidspatches, kunnen bedrijven proactief hun data beschermen tegen potentiële aanvallen. Het wordt sterk aangeraden om dergelijke advisories nauwgezet te volgen en maatregelen direct toe te passen voor de optimale bescherming van bedrijfsmiddelen.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----