Auditoría de Seguridad Revela Múltiples Vulnerabilidades
Una exhaustiva auditoría de seguridad del sistema operativo QNAP QTS, utilizado en los productos NAS (Network Attached Storage) de la compañía, ha identificado quince vulnerabilidades de diversas severidades. De estas, solo cuatro han sido corregidas, dejando once vulnerabilidades sin resolver.
Detalles de la Vulnerabilidad Crítica CVE-2024-27130
Entre las vulnerabilidades no resueltas se encuentra CVE-2024-27130, una falla de desbordamiento de búfer en la función ‘No_Support_ACL’ del script ‘share.cgi’. Esta vulnerabilidad puede permitir a un atacante ejecutar código de forma remota cuando se cumplen ciertos requisitos.
Respuesta del Proveedor y Publicación del Exploit
La empresa QNAP recibió informes sobre estas vulnerabilidades entre el 12 de diciembre de 2023 y el 23 de enero de 2024, pero ha mostrado retrasos en la resolución, abordando solo cuatro de los quince problemas reportados. Los analistas de WatchTowr Labs, quienes descubrieron las vulnerabilidades, publicaron detalles completos y un exploit de prueba de concepto (PoC) para CVE-2024-27130 el pasado viernes.
Listado de Vulnerabilidades
Las vulnerabilidades descubiertas por WatchTowr Labs incluyen problemas relacionados con la ejecución de código, desbordamientos de búfer, corrupción de memoria, omisión de autenticación y problemas de XSS, afectando la seguridad de los dispositivos NAS en diferentes entornos de implementación. A continuación, se resumen algunas de las vulnerabilidades:
- CVE-2023-50361: Uso inseguro de `sprintf` en `getQpkgDir` invocado desde `userConfig.cgi`.
- CVE-2023-50362: Uso inseguro de funciones SQLite accesibles vía el parámetro `addPersonalSmtp` a `userConfig.cgi`.
- CVE-2023-50363: Falta de autenticación permite desactivar la autenticación de dos factores para usuarios arbitrarios.
- CVE-2023-50364: Desbordamiento de pila mediante nombres de directorio largos en la función `get_dirs` de `privWizard.cgi`.
- CVE-2024-27130: Uso inseguro de `strcpy` en la función `No_Support_ACL` accesible por la solicitud `get_file_size` de `share.cgi`.
Impacto en QNAP y QuTScloud
Las vulnerabilidades afectan a QTS, el sistema operativo NAS de QNAP, así como a QuTScloud, la versión optimizada para máquinas virtuales, y QTS hero, una versión especializada en alto rendimiento. QNAP ha lanzado una actualización de seguridad en abril de 2024 para abordar algunas de las vulnerabilidades, pero muchas aún permanecen sin corregir.
Exploit de Prueba de Concepto para CVE-2024-27130
La vulnerabilidad CVE-2024-27130 es causada por el uso inseguro de la función `strcpy` en `No_Support_ACL`. Un atacante puede elaborar una solicitud maliciosa con un parámetro `name` especialmente diseñado, provocando un desbordamiento de búfer que permite la ejecución remota de código. Para explotar esta vulnerabilidad, el atacante necesita un parámetro `ssid` válido, que se genera cuando un usuario comparte un archivo desde su dispositivo QNAP.
Requisitos para la Explotación
El parámetro `ssid` se incluye en la URL del enlace de “compartir” creado en un dispositivo, por lo que el atacante tendría que utilizar ingeniería social para obtenerlo. Sin embargo, se ha encontrado que los usuarios a veces comparten estos enlaces en línea, permitiendo que sean indexados y recuperados mediante una simple búsqueda en Google.
Demostración del Exploit
WatchTowr publicó un exploit en GitHub que demuestra cómo crear un payload que añade una cuenta ‘watchtowr’ a un dispositivo QNAP y la agrega a los sudoers para obtener privilegios elevados.
Conclusión
La vulnerabilidad CVE-2024-27130 representa un riesgo significativo para los usuarios de dispositivos QNAP, especialmente dado que aún no ha sido corregida. Es crucial que los administradores de sistemas NAS tomen medidas proactivas para proteger sus dispositivos y estén atentos a futuras actualizaciones de seguridad de QNAP.
Contacto y Declaración
Hasta el momento, no se ha recibido una declaración oficial de QNAP sobre las fallas divulgadas. Es fundamental que la empresa aborde estas vulnerabilidades con la mayor brevedad posible para asegurar la protección de sus usuarios.
