QNAP ออกแพทช์อุดช่องโหว่ร้ายแรงในอุปกรณ์ NAS

QNAP ออกแพตช์เพื่อแก้ไขข้อบกพร่องด้านความปลอดภัยที่ส่งผลกระทบต่อระบบปฏิบัติการในอุปกรณ์ NAS หลายรุ่น ซึ่งอาจทำให้แฮกเกอร์รันโค้ดโดยไม่ได้รับอนุญาติ และเป็นช่องให้โจมตีและขโมยข้อมูลตามมา

โดยข้อบกพร่อง CVE-2023-23368 (คะแนน CVSS: 9.8) ถูกระบุว่าเป็นข้อบกพร่องของการแทรกคำสั่งที่ส่งผลต่อ QTS, QuTS hero และ QuTScloud

“หากถูกโจมตี ช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีจากระยะไกลสามารถรันคำสั่งผ่านเครือข่ายได้” บริษัทระบุในคำแนะนำที่เผยแพร่เมื่อสุดสัปดาห์ที่ผ่านมา

ซอฟท์แวร์ที่ได้รับผลกระทบประกอบด้วย

• QTS 5.0.x (ได้รับการแก้ไขในเวอร์ชัน QTS 5.0.1.2376 build 20230421 และใหม่กว่า)
• QTS 4.5.x (ได้รับการแก้ไขในเวอร์ชัน QTS 4.5.4.2374 build 20230416 และใหม่กว่า)
• QuTS hero h5.0.x (ได้รับการแก้ไขในเวอร์ชัน QuTS hero h5.0.1.2376 build 20230421 และใหม่กว่า)
• QuTS hero h4.5.x (ได้รับการแก้ไขในเวอร์ชัน QuTS hero h4.5.4.2374 build 20230417 และใหม่กว่า)
• QuTScloud c5.0.x (ได้รับการแก้ไขในเวอร์ชัน QuTScloud c5.0.1.2374 และใหม่กว่า)

นอกจากนี้ QNAP ยังได้แก้ไขข้อบกพร่องของการแทรกคำสั่งใน QTS, Multimedia Console และMedia Streaming add-on (CVE-2023-23369, คะแนน CVSS: 9.0) ที่อาจทำให้ผู้โจมตีระยะไกลสามารถรันคำสั่งผ่านเครือข่ายได้เช่นกัน

ซอฟท์แวร์ที่ได้รับผลกระทบประกอบด้วย

• QTS 5.1.x (ได้รับการแก้ไขในเวอร์ชัน QTS 5.1.0.2399 build 20230515 และใหม่กว่า)
• QTS 4.3.6 (ได้รับการแก้ไขในเวอร์ชัน QTS 4.3.6.2441 build 20230621 และใหม่กว่า)
• QTS 4.3.4 (ได้รับการแก้ไขในเวอร์ชัน QTS 4.3.4.2451 build 20230621 และใหม่กว่า)
• QTS 4.3.3 (ได้รับการแก้ไขในเวอร์ชัน QTS 4.3.3.2420 build 20230621 และใหม่กว่า)
• QTS 4.2.x (ได้รับการแก้ไขในเวอร์ชัน QTS 4.2.6 build 20230621 และใหม่กว่า)
• Multimedia Console 2.1.x (ได้รับการแก้ไขในเวอร์ชัน Multimedia Console 2.1.2 (2023/05/04) และใหม่กว่า)
• Multimedia Console 1.4.x (ได้รับการแก้ไขในเวอร์ชัน Multimedia Console 1.4.8 (2023/05/05) และใหม่กว่า)
• Media Streaming add-on 500.1.x (ได้รับการแก้ไขในเวอร์ชัน Media Streaming add-on 500.1.1.2 (2023/06/12) และใหม่กว่า)
• Media Streaming add-on 500.0.x (ได้รับการแก้ไขในเวอร์ชัน Media Streaming add-on 500.0.0.11 (2023/06/16) และใหม่กว่า)

ที่มา : thehackernews