【漏洞通告】QNAP QTS & QuTS Hero原型污染漏洞（CVE-2023-39296）

admin
admin
admin
138635
文章
114
评论
2024年1月9日16:03:57评论59 views字数 1108阅读3分41秒阅读模式

一、漏洞概述

漏洞名称

  QNAP  QTS & QuTS Hero原型污染漏洞

CVE   ID

CVE-2023-39296

漏洞类型

原型污染

发现时间

2024-01-09

漏洞评分

7.5

漏洞等级

高危

攻击向量

网络

所需权限

无

利用难度

低

用户交互

无

PoC/EXP

未知

在野利用

未知
QNAP Systems, Inc.（威联通科技）主要生产用于文件共享、虚拟化、存储管理和监控应用的网络附加存储（NAS）设备。
2024年1月9日，启明星辰VSRC监测到某些QNAP操作系统中修复了一个原型污染漏洞（CVE-2023-39296），其CVSSv3评分为7.5。该漏洞影响了QTS 和 QuTS Hero，可能导致远程威胁者使用类型不兼容的属性覆盖现有属性，从而可能导致系统崩溃。
此外，QTS 和QuTS Hero中还修复了一个OS命令注入漏洞（CVE-2023-39294，中危），经过身份验证的管理员用户可利用该漏洞远程执行命令。

二、影响范围

QTS 5.1.x < QTS 5.1.3.2578 build 20231110
QuTS hero h5.1.x < QuTS hero h5.1.3.2578 build 20231110

三、安全措施

3.1 升级版本

目前这些漏洞已经修复，受影响用户可升级到以下版本：
QTS 5.1.x >= QTS 5.1.3.2578 build 20231110
QuTS hero h5.1.x >= QuTS hero h5.1.3.2578 build 20231110
下载链接：
https://www.qnap.com/en/download
注：更新QTS 或QuTS hero步骤如下：
1.以管理员身份登录 QTS 或 QuTS hero；
2.转到【控制面板】>【系统】>【固件更新】；
3.在【实时更新】下，单击【检查更新】；
系统下载并安装最新的可用更新。

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
使用企业级安全产品，提升企业的网络安全性能。
加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。

3.4 参考链接

https://www.qnap.com/en/security-advisory/qsa-23-64
https://www.qnap.com/en/security-advisory/qsa-23-54



原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】QNAP QTS & QuTS Hero原型污染漏洞（CVE-2023-39296）

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年1月9日16:03:57
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【漏洞通告】QNAP QTS & QuTS Hero原型污染漏洞（CVE-2023-39296）http://cn-sec.com/archives/2378312.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息