Zyxel, som producerer netværksudstyr, har udgivet en opdatering til en kritisk sikkerhedsfejl i sine NAS-produkter. Det skriver Bleeping Computer m.fl. med henvisning til en advisory fra Zyxel.
Der er tale om en rettelse til en sårbarhed, der kan give en ikke-autentificeret angriber mulighed for eksternt at afvikle kommandoer på ramte enheder, såkaldt command injection-attacks via specielt konstruerede http requests.
Fejlen har id’et CVE-2023-27992 og en CVSS-score på 9.8
QNAP har advaret sine kunder om, at nogle af dets Network Attached Storage (NAS)-enheder (med ikke-standardkonfigurationer) er sårbare over for angreb, der kan udnytte en tre år gammel kritisk PHP-sårbarhed, der tillader fjernafvikling af kode. Fejlen har id’et CVE-2019-11043 og en score på 8,7 på CVSS-skalaen.
QNAP skriver i sin advisory, at sårbarheden påvirker PHP-version 7.1.x før 7.1.33, 7.2.x før 7.2.24 og 7.3.x før 7.3.11. Hvis sårbarheden udnyttes, er det muligt for at fjernafvikle kode. dvs. remote code execution (RCE)..
Leverandør af Network Attached Storage (NAS), QNAP, advarer om, at de fleste af virksomhedens NAS-enheder er påvirket af en alvorlig Linux-sårbarhed, der gør det muligt for angribere med lokal adgang at få root-privilegier. Det skriver Bleeping Computer.
Sårbarheden har fået navnet 'Dirty Pipe', og den påvirker Linux Kernel 5.8 og nyere versioner, også selv på Android-enheder. Hvis et angreb lykkes, giver det ikke-privilegerede brugere mulighed for at injicere og overskrive data i skrivebeskyttede filer, inklusive SUID-processer, der kører som root.
Producenten af NAS-enheder, QNAP, opfordrer sine kunder til at opgradere til den nyeste softwareversion og omkonfigurere deres systemer for at imødegå en ny ransomware-kampagne.
Flere NAS-systemer (Network-Attached Storage) fra producenten LG har en sårbarhed. Det oplyser sikkerhedsfirmaet vpnMentor.
Ifølge firmaet er det muligt at indsætte kommandoer i password-feltet på loginsiden. Dermed kan en angriber udføre kommandoer, fx ved at oprette en ny brugerkonto eller hente databasen over brugernavne og passwords.
VpnMentor oplyser, at LG øjensynlig bruger to forskellige typer firmware til firmaets NAS-produkter. Den ene af dem er sårbar.
