Alert GCSA-24155 - Vulnerabilita' critiche nei NAS QNAP

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

alert ID: GCSA-24155
data: 26 novembre 2024
titolo: Vulnerabilita' critiche nei NAS QNAP

******************************************************************

:: Descrizione del problema

QNAP ha corretto 24 vulnerabilita', delle quali 2 di gravita' "critica"
e 9 di gravita' "alta", presenti in vari prodotti.

Il produttore consiglia vivamente ai clienti di installare gli aggiornamenti
il prima possibile, per rimanere protetti da potenziali attacchi.

I device di questo tipo non dovrebbero mai essere esposti direttamente ad Internet,
ma essere invece visibili solo via VPN, per impedire lo sfruttamento da remoto
delle vulnerabilita'.

Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

QTS 5.2.x, versioni precedenti alla 5.2.1.2930 build 20241025
QTS 5.1.x, versioni precedenti alla 5.1.8.2823 build 20240712
QuTS hero h5.2.x, versioni precedenti alla h5.2.1.2929 build 20241025
QuTS hero h5.1.x, versioni precedenti alla h5.1.8.2823 build 20240712
QuLog Center 1.7.x, versioni precedenti alla 1.7.0.831 (2024/10/15)
QuLog Center 1.8.x, versioni precedenti alla 1.8.0.888 (2024/10/15)
Notes Station 3.9.x, versioni precedenti alla 3.9.7
Photo Station 6.4.x, versioni precedenti alla 6.4.3
Media Streaming Add-on 500.1.x, versioni precedenti alla 500.1.1.6 (2024/08/02)
QuRouter 2.4.x, versioni precedenti alla 2.4.3.106
QuRouter 2.4.x, versioni precedenti alla 2.4.3.103
AI Core 3.4.x, versioni precedenti alla 3.4.1


:: Impatto

Accesso a dati riservati (ID)
Bypass delle funzionalita' di sicurezza (SFB)
Denial of Service (DoS)
Esecuzione remota di codice arbitrario (RCE)
Cross-site Scripting (XSS)

:: Soluzioni

Aggiornare i prodotti alle ultime versioni
https://www.qnap.com/it-it/security-advisory/qsa-24-36
https://www.qnap.com/it-it/security-advisory/qsa-24-37
https://www.qnap.com/it-it/security-advisory/qsa-24-39
https://www.qnap.com/it-it/security-advisory/qsa-24-40
https://www.qnap.com/it-it/security-advisory/qsa-24-43
https://www.qnap.com/it-it/security-advisory/qsa-24-44
https://www.qnap.com/it-it/security-advisory/qsa-24-46
https://www.qnap.com/it-it/security-advisory/qsa-24-47


:: Riferimenti

QNAP Security Advisories
https://www.qnap.com/it-it/security-advisories

Bleeping Computer
https://www.bleepingcomputer.com/news/security/qnap-addresses-critical-flaws-across-nas-router-software/

QNAP rimuove un firmware QTS difettoso che causa problemi
https://www.bleepingcomputer.com/news/technology/qnap-pulls-buggy-qts-firmware-causing-widespread-nas-issues/

Riferimenti CVE
https://www.cve.org/CVERecord?id=CVE-2024-38643
https://www.cve.org/CVERecord?id=CVE-2024-38644
https://www.cve.org/CVERecord?id=CVE-2024-38645
https://www.cve.org/CVERecord?id=CVE-2024-38646
https://www.cve.org/CVERecord?id=CVE-2024-38647
https://www.cve.org/CVERecord?id=CVE-2024-48860
https://www.cve.org/CVERecord?id=CVE-2024-48861
https://www.cve.org/CVERecord?id=CVE-2024-48862
https://www.cve.org/CVERecord?id=CVE-2024-50395
https://www.cve.org/CVERecord?id=CVE-2024-50396
https://www.cve.org/CVERecord?id=CVE-2024-50397


GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iGsEAREIACsWIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZ0XTlQ0cY2VydEBnYXJy
Lml0AAoJEMGcTJNlEmBCAIgAoJMGugDljluiCpoP/K5NvX9CZnMtAJ9TfeJPFVER
o+GOUSRyuSovfkF2pg==
=d9E8
-----END PGP SIGNATURE-----