QNAP Systems ha publicado un aviso de seguridad relacionado con dos vulnerabilidades críticas que afectan múltiples versiones del sistema operativo QTS y aplicaciones en sus dispositivos de almacenamiento conectado a la red (NAS). Estas fallas permiten a los atacantes remotos ejecutar comandos, lo cual puede llevar a la lectura o acceso no autorizado a datos sensibles.
Vulnerabilidad CVE-2023-23368
La primera vulnerabilidad se identifica como CVE-2023-23368 y tiene una calificación de gravedad crítica de 9,8 sobre 10. Se trata de una vulnerabilidad de inyección de comandos que puede ser explotada por un atacante remoto a través de una red.
Las versiones afectadas del sistema operativo QTS incluyen: QTS 5.0.x y 4.5.x, QuTS hero h5.0.x y h4.5.x, así como QuTScloud c5.0.1.
- QTS 5.0.1.2376 build 20230421+
- QTS 4.5.4.2374 build 20230416+
- QuTS hero h5.0.1.2376 build 20230421+
- QuTS hero h4.5.4.2374 build 20230417+
- QuTScloud c5.0.1.2374+
Vulnerabilidad CVE-2023-23369
La segunda vulnerabilidad se identifica como CVE-2023-23369 y tiene una calificación de gravedad más baja de 9,0. También puede ser explotada por un atacante remoto con el mismo efecto que la anterior.
Las versiones afectadas incluyen: QTS 5.1.x, 4.3.6, 4.3.4, 4.3.3 y 4.2.x, Multimedia Console 2.1.x y 1.4.x, así como el complemento Media Streaming 500.1.x y 500.0.x.
- QTS 5.1.0.2399 build 20230515+
- QTS 4.3.6.2441 build 20230621+
- QTS 4.3.4.2451 build 20230621+
- QTS 4.3.3.2420 build 20230621+
- QTS 4.2.6 build 20230621+
- Multimedia Console 2.1.2 (2023/05/04)+
- Multimedia Console 1.4.8 (2023/05/05)+
- Media Streaming add-on 500.1.1.2 (2023/06/12)+
- Media Streaming add-on 500.0.0.11 (2023/06/16)+
Los administradores pueden actualizar QTS, QuTS hero o QuTScloud iniciando sesión en el Panel de control > Sistema > Actualización de firmware y haciendo clic en «Buscar actualizaciones» en Actualización en vivo. Las actualizaciones también están disponibles como descargas manuales desde el sitio web de QNAP.
Para actualizar la consola multimedia, los usuarios pueden buscarla en el App Center y hacer clic en el botón «Actualizar» (disponible solo si existe una versión más nueva). El proceso es similar para actualizar el complemento Media Streaming, que también puede encontrarse buscando en el App Center.
Los dispositivos NAS suelen utilizarse para almacenar datos. Por ello, las fallas en la ejecución de comandos pueden tener un impacto grave, ya que los ciberdelincuentes buscan nuevos objetivos para robar o cifrar datos confidenciales.
QNAP ha sido blanco de ataques de ransomware a gran escala en el pasado. Hace un año, la banda de ransomware Deadbolt aprovechó una vulnerabilidad de día cero para cifrar dispositivos NAS expuestos en Internet pública.
Dicho esto, se recomienda a los usuarios de QNAP que apliquen las actualizaciones de seguridad disponibles lo antes posible.