QNAP 修复了关键的 QVR 远程命令执行漏洞
近期，QNAP发布了几项安全公告，其中一项针对严重的安全问题，该问题允许在易受攻击的QVR系统上远程执行任意命令，该公司的视频监控解决方案托管在NAS设备上。QVR IP视频监控系统支持多重频道和跨平台视频解码，专为监控家庭和办公环境而设计。该漏洞编号为CVE-2022-27588，严重程度得分为9.8。它会影响早于5.1.6 build 20220401的QVR版本。
根据QNAP发布的公告，该漏洞会影响运行QVR的QNAP VS系列NVR。如果被利用，此漏洞允许远程攻击者运行任意命令。这种类型的安全漏洞允许攻击者在目标上执行命令以更改设置、访问敏感信息或控制设备。它甚至还可以被当成深入目标 *** 的踏板。正如我们过去所见，当漏洞利用公开可用时，QNAP系统中的关键漏洞几乎立即在 *** 攻击中被利用。
目前BleepingComputer表示已与QNAP联系，要求提供有关 CVE-2022-27588是否被积极利用的信息，并将根据公司的回应做出及时报道。
除了QVR 中的严重问题外，QNAP还解决了其他产品中的8个漏洞，严重程度介于中到高之间。
以下是修复的完整列表：
- CVE-2022-27588：QNAP QVR 中的严重RCE
- CVE-2021-38693：thttpd中的中等严重性路径遍历漏洞，影响 QTS、QuTS hero 和 QuTScloud。
- CVE-2021-44055：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。
- CVE-2021-44056：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。
- CVE-2021-44057：运行 Photo Station 的 QNAP NAS 中的高危漏洞。
- CVE-2021-44051：高严重性命令注入漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行任意远程命令。
- CVE-2021-44052：高严重性链接解析漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行恶意文件操作。
- CVE-2021-44053：高严重性跨站点脚本 (XSS) 漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中进行远程代码注入。
- CVE-2021-44054：高严重性开放重定向漏洞，允许用户重定向到 QTS、QuTS hero 和 QuTScloud 中带有恶意软件的页面。
目前，QNAP尚未提供缓解指南，因此建议您将软件更新到最新的可用版本。
转自 FreeBuf ，原文链接：https://www.freebuf.com/articles/332343.html
封面来源于 *** ，如有侵权请联系删除
“QNAP 修复了关键的 QVR 远程命令执行漏洞” 的相关文章
小心：勒索软件 Magniber 伪装成 Windows 更新传播
在最新活动中，恶意软件 Magniber 利用虚假的 Windows 10 更新实现传播。这款恶意软件非常善于紧跟最新时事进行传播，在 2021 年使用 PrintNightmare 漏洞来感染受害者；在 2022 年 1 月，它再次通过 Edge 和 Chrome 浏览器进行传播。 援引科...
全球 76% 的公司在过去一年中曾遭遇因技术问题导致的业务中断
Atlas VPN的新研究显示，全球76%的公司在过去一年中遭遇过服务停机。原因包括系统崩溃、人为错误和网络攻击是造成停机的主要原因。此外，许多IT经理对越来越多的政治驱动的网络攻击感到担忧。 系统崩溃被认为是公司停机的首要原因，52%的人不得不处理这个问题。42.3%的IT经理认为人为错误是导致公...
俄罗斯外卖应用的泄露数据中包含 GRU 特勤人员的用餐习惯
据The Verge报道，根据Bellingcat的调查结果，俄罗斯外卖平台Yandex Food的一次大规模数据泄漏暴露了属于那些与俄罗斯秘密警察有关的递送地址、电话号码、姓名和配送指示。 Yandex Food是俄罗斯大型互联网公司Yandex的子公司，于3月1日首次报告了数据泄漏事件，将其归...
禁止套娃：新发布的 Log4j 补丁被发现又包含一个可利用的漏洞
就在我们了解到国家支持的黑客已经开始研究上周震惊网络安全界的Log4j漏洞问题时，其他研究人员发出了一个令人不安的发展信号。Log4j黑客，也被称为Log4Shell已经有一个补丁，已经可以部署到企业。但事实证明，这个补丁玩起了“套娃”：它解决原有问题的同时又产生新的安全问题，且可以被外部利用。因此...
黑客利用恶意软件 Tardigrade 攻击生物制造设施
Hackernews编译，转载请注明出处： 今年，借助一个叫做 Tardigrade 的恶意软件装载器，一个 APT攻击了 两家生物制造公司。 生物经济信息共享与分析中心(BIO-ISAC)发布了一份公告，其中指出，恶意软件正在整个行业中广泛传播，它们的目的可能是盗窃知识产权，保证持续性，并用勒索...
安全报告：黑客利用木马程序感染300多万台电脑 攫取1.2TB以上数据
Nord Locker 安全分析师发现，在 2018-2020 年间黑客利用一个木马化恶意程序，感染了超过 300 多万台电脑，并从中攫取了 1.2T 以上的敏感信息。这款尚未命名的恶意软件从超过 325 万台 Windows PC 中收集信息，收集的数据包括 20 亿个 cookies 和 110...
评论列表
发表评论
