【漏洞通告】QNAP QTS & QuTS Hero & QuTScloud命令注入漏洞（CVE-2023-23368）

一、漏洞概述

CVE   ID	CVE-2023-23368	发现时间	2023-11-07
类    型	命令注入	等    级	高危
攻击向量	网络	所需权限	无
攻击复杂度	低	用户交互	无
PoC/EXP	未公开	在野利用	未发现

QNAP Systems, Inc.（威联通科技）主要生产用于文件共享、虚拟化、存储管理和监控应用的网络附加存储（NAS）设备。

11月7日，启明星辰VSRC监测到QNAP发布安全公告，修复了其多个QNAP系统中的一个命令注入漏洞（CVE-2023-23368），其CVSSv3评分为9.8。该漏洞影响了QTS 、QuTS Hero 和QuTScloud的多个版本，成功利用可能导致在未经身份验证的情况下远程执行命令。

此外，QNAP还修复了QNAP系统和应用程序中的另一个命令注入漏洞（CVE-2023-23369，CVSSv3评分为9.0），该漏洞影响了QTS、Multimedia Console、Media Streaming add-on的多个版本，未经身份验证的威胁者可利用该漏洞在高复杂度攻击中远程执行命令。

二、影响范围

CVE-2023-23368

QTS 5.0.x < QTS 5.0.1.2376 build 20230421

QTS 4.5.x < QTS 4.5.4.2374 build 20230416

QuTS hero h5.0.x < QuTS hero h5.0.1.2376 build 20230421

QuTS hero h4.5.x < QuTS hero h4.5.4.2374 build 20230417

QuTScloud c5.0.x < QuTScloud c5.0.1.2374

CVE-2023-23369

QTS 5.1.x < QTS 5.1.0.2399 build 20230515

QTS 4.3.6 < QTS 4.3.6.2441 build 20230621

QTS 4.3.4 < QTS 4.3.4.2451 build 20230621

QTS 4.3.3 < QTS 4.3.3.2420 build 20230621

QTS 4.2.x < QTS 4.2.6 build 20230621

Multimedia Console 2.1.x < Multimedia Console 2.1.2 (2023/05/04)

Multimedia Console 1.4.x < Multimedia Console 1.4.8 (2023/05/05)

Media Streaming add-on 500.1.x < Media Streaming add-on 500.1.1.2 (2023/06/12)

Media Streaming add-on 500.0.x < Media Streaming add-on 500.0.0.11 (2023/06/16)

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

CVE-2023-23368

QTS 5.0.x >= QTS 5.0.1.2376 build 20230421

QTS 4.5.x >= QTS 4.5.4.2374 build 20230416

QuTS hero h5.0.x >= QuTS hero h5.0.1.2376 build 20230421

QuTS hero h4.5.x >= QuTS hero h4.5.4.2374 build 20230417

QuTScloud c5.0.x >= QuTScloud c5.0.1.2374

CVE-2023-23369

QTS 5.1.x >= QTS 5.1.0.2399 build 20230515

QTS 4.3.6 >= QTS 4.3.6.2441 build 20230621

QTS 4.3.4 >= QTS 4.3.4.2451 build 20230621

QTS 4.3.3 >= QTS 4.3.3.2420 build 20230621

QTS 4.2.x >= QTS 4.2.6 build 20230621

Multimedia Console 2.1.x >= Multimedia Console 2.1.2 (2023/05/04)

Multimedia Console 1.4.x >= Multimedia Console 1.4.8 (2023/05/05)

Media Streaming add-on 500.1.x >= Media Streaming add-on 500.1.1.2 (2023/06/12)

Media Streaming add-on 500.0.x >= Media Streaming add-on 500.0.0.11 (2023/06/16)

下载链接：

https://www.qnap.com/en/download

注：更新QTS 、QuTS hero或QuTScloud步骤如下：

1.   以管理员身份登录QTS 、QuTS hero或QuTScloud；

2.   进入【控制面板】>【系统】>【固件更新】；

3.   在【实时更新】下，单击【检查更新】；

系统下载并安装最新的可用更新。

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://www.qnap.com/en-uk/security-advisory/qsa-23-31

https://www.qnap.com/en-uk/security-advisory/qsa-23-35

原文始发于微信公众号（维他命安全）：【漏洞通告】QNAP QTS & QuTS Hero & QuTScloud命令注入漏洞（CVE-2023-23368）