QNAP修复Pwn2Own大赛利用的多个漏洞

上周末，QNAP系统修复在2024年Pwn2Own 爱尔兰大赛中演示的QTS 和 QuTS Hero 中的多个漏洞。

在 Pwn2Own 大赛中，参赛人员因发现QNAP 产品 exp 而获得数万美元的奖励，其中一个exp甚至获得10万美元的奖励，不过它涉及的不仅仅是 QNAP 公司的产品，还包括TrueNAS 设备中的漏洞。

QNAP 公司本次修复的最严重漏洞是CVE-2024-50393（CVSS评分8.7），它是一个命令注入漏洞，可导致远程攻击者在易受攻击设备上执行任意命令。CVE-2024-48868（CVSS评分8.7）是一个回车和换行 (CRLF) 注入漏洞，可被用于修改应用数据。该CRLF 特殊元素被嵌入到代码中如HTTP标头作为结束标记。

QNAP 还修复了QTS 5.1.9.2954 build 20241120、QTS 5.2.2.2950 build 20241114、QuTS Hero h5.1.9.2954 build 20241120 和 QuTS Hero h5.2.2.2952 build 20241116中的多个漏洞。

这次更新还修复了一个证书验证不当漏洞CVE-2024-48865（CVSS评分7.3），可导致本地网络攻击者攻陷系统的安全性。另外，更新还修复了多个中危的认证不当和 CRLF 注入缺陷，以及低危的 Hex 编码和外部控制的格式化字符串漏洞。

QNAP还修复了位于 License Center 中的一个高危漏洞CVE-2024-48863（CVSS评分7.7），可导致远程攻击者运行任意命令。这些补丁已包含在 QNAP License Center 1.9.43 版本。用户需以管理员身份登录到QTS货QuTS Hero，打开应用程序中心，搜索找到 License Center，点击更新按钮。

QNAP 还宣布发布 Qsync Central 版本 4.4.0.16_20240819 (2024/08/19)，修复了一个“可导致拥有用户访问权限的攻击者，将文件系统遍历到非预期位置。”

虽然QNAP公司并未提到这些漏洞是否已遭在野利用，但鉴于其设备经常遭攻击，因此用户应尽快更新实例。更多信息可访问QNAP公司的安全公告页面。