QNAP 修复了关键的 QVR 远程命令执行漏洞
近期，QNAP发布了几项安全公告，其中一项针对严重的安全问题，该问题允许在易受攻击的QVR系统上远程执行任意命令，该公司的视频监控解决方案托管在NAS设备上。QVR IP视频监控系统支持多重频道和跨平台视频解码，专为监控家庭和办公环境而设计。该漏洞编号为CVE-2022-27588，严重程度得分为9.8。它会影响早于5.1.6 build 20220401的QVR版本。
根据QNAP发布的公告，该漏洞会影响运行QVR的QNAP VS系列NVR。如果被利用，此漏洞允许远程攻击者运行任意命令。这种类型的安全漏洞允许攻击者在目标上执行命令以更改设置、访问敏感信息或控制设备。它甚至还可以被当成深入目标 *** 的踏板。正如我们过去所见，当漏洞利用公开可用时，QNAP系统中的关键漏洞几乎立即在 *** 攻击中被利用。
目前BleepingComputer表示已与QNAP联系，要求提供有关 CVE-2022-27588是否被积极利用的信息，并将根据公司的回应做出及时报道。
除了QVR 中的严重问题外，QNAP还解决了其他产品中的8个漏洞，严重程度介于中到高之间。
以下是修复的完整列表：
- CVE-2022-27588：QNAP QVR 中的严重RCE
- CVE-2021-38693：thttpd中的中等严重性路径遍历漏洞，影响 QTS、QuTS hero 和 QuTScloud。
- CVE-2021-44055：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。
- CVE-2021-44056：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。
- CVE-2021-44057：运行 Photo Station 的 QNAP NAS 中的高危漏洞。
- CVE-2021-44051：高严重性命令注入漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行任意远程命令。
- CVE-2021-44052：高严重性链接解析漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行恶意文件操作。
- CVE-2021-44053：高严重性跨站点脚本 (XSS) 漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中进行远程代码注入。
- CVE-2021-44054：高严重性开放重定向漏洞，允许用户重定向到 QTS、QuTS hero 和 QuTScloud 中带有恶意软件的页面。
目前，QNAP尚未提供缓解指南，因此建议您将软件更新到最新的可用版本。
转自 FreeBuf ，原文链接：https://www.freebuf.com/articles/332343.html
封面来源于 *** ，如有侵权请联系删除
“QNAP 修复了关键的 QVR 远程命令执行漏洞” 的相关文章
据称黑客泄露了多达 37GB 的来自微软的源代码
据称，一个黑客组织泄露了微软37GB的源代码，这些代码与包括Bing和Cortana在内的数百个项目有关，这是一系列重大网络安全事件中的最新一起。Lapsus$黑客组织在周一晚上公开发布了一个9GB的压缩文件。据称，该7zip档案包含了从微软获得的250多个内部项目。 据称这些数据来自微软的Az...
苹果尚未修补 macOS Big Sur 与 Catalina 的关键漏洞
尽管发布了一个更新来解决macOS Monterey中的两个零日漏洞，但苹果还没有将其应用于最后两个macOS版本，这可能会让多达40%正在使用的Mac计算机处于危险之中。 苹果在2022年3月31日对macOS Monterey的更新中解决了这些关键的漏洞。然而，到目前为止，它还没有更新macO...
德国摧毁俄罗斯暗网市场 Hydra 九头蛇 收缴价值 2500 万美元的比特币
据德国媒体报道，德国执法机构在最近的执法行动中扣押俄罗斯暗网市场Hydra的服务器，同时收缴价值2500万美元的比特币。不知道这个黑市的创始人是不是漫威的粉丝，所以才会起九头蛇这个名字。 目前访问该市场会弹出德国执法机构挂出的提示，而收缴的2500万美元比特币只是很小的一部分，具体来说是4月5日的一...
警告：针对 ASUSTOR NAS 设备的 Deadbolt 勒索软件
Hackernews 编译，转载请注明出处： ASUSTOR 网络附属存储（NAS）设备已经成为 Deadbolt 勒索软件的最新受害者，不到一个月前，类似的攻击受害者是QNAP 网络附加存储设备。 为了应对感染，该公司发布了固件更新(ADM 4.0.4.RQO2)来“解决相关...
Cynerio 报告：医院中一半的联网设备容易受到黑客攻击
根据医疗网络安全公司Cynerio的一份新报告，医院中使用的互联网连接设备有一半以上存在漏洞，可能会危及病人安全、机密数据或设备的可用性。 该报告分析了全球300多家医院和医疗机构的1000多万台设备的数据，该公司通过连接到设备上的连接器收集这些数据，作为其安全平台的一部分。 医院里最常见的互联网...
欧洲刑警组织：Deepfakes 对网络安全和社会的威胁越来越大
近日，欧洲刑警组织发布了其首份深度伪造研究报告–《面对现实？执法和深度伪造的挑战》（Facing reality? Law enforcement and the challenge of deepfakes），这是欧洲刑警组织创新实验室就新兴技术的风险、威胁和机遇等方面技术发展研究形成的报告。该报...
评论列表
发表评论
