严重远程代码执行漏洞（CVE-2024-53691）在QNAP 系统中被发现

点击上方蓝字关注我们吧~

近日，在QNAP的QTS和QuTS hero操作系统中发现了一个高风险的远程代码执行（RCE）漏洞，编号为CVE-2024-53691。该漏洞CVSS v4评分为8.7，表明其具有极高的危险性，可使攻击者通过特制的ZIP文件上传符号链接，进而获得任意文件写入权限，并最终实现RCE。

漏洞详情

该漏洞允许已获得用户访问权限的远程攻击者利用系统的加密/解密功能，通过恶意ZIP文件中的符号链接来遍历文件系统并执行未经授权的操作。这种操作可能导致数据泄露、系统中断及广泛的环境损害。

利用过程

一旦拥有用户级访问权限，攻击者可以：

1. 创建恶意ZIP：包含指向敏感文件或目录的符号链接。

2. 上传至QNAP设备：利用应用程序端点进行上传。

3. 触发解密功能：使系统处理ZIP文件时跟随符号链接执行非法操作。

4. 执行恶意代码：以root权限运行，完全控制受感染系统。

影响版本与修复措施

受影响的QNAP版本包括旧版QTS和QuTS hero。官方建议立即升级到下列安全版本之一：

• QTS: 5.1.8.2823 及以上（20240712）

• QTS: 5.2.0.2802 及以上（20240620）

• QuTS hero: H5.1.8.2823 及以上（20240712）

• QuTS hero: H5.2.0.2802 及以上（20240620）

用户可通过官方网站下载更新或使用系统内的自动更新功能来保护自身免受此漏洞威胁。

免责声明：

本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！

原文始发于微信公众号（网安百色）：严重远程代码执行漏洞（CVE-2024-53691）在QNAP 系统中被发现