Tayvanese Corporation QNAP, bu hafta müşterilerden, birden fazla kritik netatalk güvenlik açığını düzeltene kadar ağa bağlı depolama (NAS) cihazlarında AFP dosya hizmet protokolünü devre dışı bırakmalarını istedi.
NetAtalk, *nix/ *BSD sistemlerinin macOS istemcileri için bir Appleshare Dosya Sunucusu (AFP) olarak hareket etmesini sağlayan AFP'nin (Apple Dosya Protokolü Kıslığı) açık kaynaklı bir uygulamasıdır.
QNAP NAS cihazlarında AFP, macOS sistemlerinin NAS üzerindeki verilere erişmesine izin verir. QNAP'a göre, hala kullanılmaktadır, çünkü "diğer protokoller tarafından desteklenmeyen birçok benzersiz macOS özelliğini destekler."
NCC Group'un EDG ekibi üyeleri, bu güvenlik kusurlarından birini kullandı, CVE-2022-23121 olarak izlendi ve 9.8/10 önem skoruyla derecelendirildi, PWN2OWN 2021 Hacking Yarışması sırasında kimlik doğrulama yapmadan uzaktan kod yürütülmesini sağlamak için bir batı dijital PR4100 NAS Bulut OS ürün yazılımı.
Diğer hatalardan üçü QNAP müşterilerini ayrıca 9.8/10 şiddet derecelendirmesi (yani, CVE-2022-23125, CVE-2022-23122, CVE-2022-0194) konusunda uyardı, bunların hepsi de yetkilendirilmemiş saldırganların keyfi kanun yürütmesine izin veriyor Saldırılmamış cihazlarda kimlik doğrulama gerektirmeden uzaktan.
22 Mart'ta NetAtalk Geliştirme Ekibi, Pwn2own yarışmasının ardından kusurların bildirildikten üç ay sonra bu güvenlik hatalarını düzeltmek için 3.1.13 sürümünü yayınladı.
QNAP, netatalk güvenlik açıklarının (QTS 4.5.4.2012 Build 20220419 ve üstünde sabit) aşağıdaki işletim sistemi sürümlerini etkilediğini söylüyor:
NAS Maker, "QNAP davayı iyice araştırıyor. Etkilenen tüm QNAP işletim sistemi sürümleri için güvenlik güncellemelerini yayınlayacağız ve mümkün olan en kısa sürede daha fazla bilgi sağlayacağız." Dedi.
"Bu güvenlik açıklarını azaltmak için AFP'yi devre dışı bırakın. Kullanıcıların kullanıma sunuldukları anda güvenlik güncellemelerini tekrar kontrol etmelerini ve yüklemelerini öneririz."
QTS veya Quts Hero NAS cihazınızda AFP'yi devre dışı bırakmak için, Kontrol Paneli> Ağ ve Dosya Hizmetleri> Win/Mac/NFS/WebDAV> Apple Networking'e gitmeniz ve AFP'yi (Apple Dosya Protokolü) Devre Dışı Bırakmanız gerekir.
QNAP ayrıca, kök ayrıcalıkları kazanmaya izin veren saldırılarda aktif olarak sömürülen 'Dirty Boru' olarak adlandırılan bir Linux güvenlik açığının ele alınması için çalışıyor.
Kirli boru kusuru QUTSCLOUD C5.0.x çalıştıran NAS cihazları için sabitlenmeye devam ederken, QNAP yalnızca bir ay önce müşterileri uyardığı OpenSSL DOS Kususu için QTS güvenlik güncellemeleri yayınladı.
Bir hafta önce, müşterilere QTS, QUTS Hero ve Qutscloud'u çalıştıran cihazlar için ele alınması gereken güvenlik açıklarına eklenen bir çift kritik Apache HTTP sunucu hatasını hafifletmeleri söylendi.
Kritik Apache Struts RCE güvenlik açığı tamamen sabit değildi, şimdi yama
Microsoft, bulut hizmetlerinde Spring4shell saldırılarını algılar
Trend Micro Düzeltmeleri Aktif olarak sömürülen uzaktan kod yürütme hatası
Kritik Sonicwall Güvenlik Duvarı Yaması Tüm cihazlar için yayınlanmadı
Western Digital Bulut OS güncellemem kritik güvenlik açığını giderir
Kaynak: Bleeping Computer