Firma F-Secure informuje o wykryciu trzech podatności w oprogramowaniu dysków NAS (Network Attached Storage) produkowanych przez QNAP Systems Inc. Hakerzy mogą wykorzystać luki w celu przejęcia zdalnej kontroli nad urządzeniami. Odkrycie dotyczy ponad miliona dysków, które są obecnie w użytku. Od lutego 2016 roku podatne na atak są modele TVS-663 oraz inne urządzenia z tym samym oprogramowaniem: QTS w wersji 4.2 lub późniejszej.
Podatność w oprogramowaniu wykryto podczas testowania dysku NAS QNAP TVS-663. Badanie wykazało, że hakerzy mogliby wykorzystać luki w procesie aktualizacji firmware’u w celu uzyskania uprawnień administracyjnych. Zdobycie uprawnień umożliwiłoby zainstalowanie złośliwego oprogramowania, korzystanie z danych, przejęcie haseł, a nawet zdalne wydawanie poleceń.
Harry Sintonen, starszy konsultant ds. bezpieczeństwa z F-Secure, stworzył exploit potwierdzający, że podatności mogą zostać wykorzystane przez atakujących. Wiele luk tego typu nie stanowi zagrożenia samego w sobie. Dopiero powiązanie ich oraz odpowiednia wiedza mogą sprawić, że nawet najdrobniejsze przeoczenia w kwestii bezpieczeństwa będą stanowić okazję do przeprowadzenia ataku.
Według Sintonena urządzenie staje się narażone na atak w momencie przesłania niezaszyfrowanego żądania o przeprowadzenie aktualizacji oprogramowania. Brak szyfrowania pozwala zaburzyć procesi zmodyfikować odpowiedź na to żądanie. Sintonen wykorzystał tę lukę, by przesłać do urządzenia exploit, który podszywałby się pod nową wersję firmware’u. Fałszywe oprogramowanie automatycznie instalowane jest na urządzeniu – w praktyce nigdy nie dochodzi do aktualizacji, a exploit pozwala włamać się do systemu.
Sintonen ograniczył badanie jedynie do urządzenia TVS-663 firmy QNAP, jednak podejrzewa, że w modelach korzystających z tego samego oprogramowania występują takie same problemy.
Obecnie zagrożonych jest 1,400,000 urządzeń korzystających z tej samej wersji oprogramowania. Wielu użytkowników nie aktualizuje oprogramowania na bieżąco, a zatem liczba urządzeń podatnych na atak może sięgać milionów.
Rada dla użytkowników
Firma F-Secure poinformowała QNAP o problemie w lutym 2016 roku. Od tamtej pory nie otrzymano informacji na temat wprowadzenia odpowiednich poprawek przez QNAP – a to jedyna metoda, by trwale zapobiec zagrożeniu.
Problemy tego typu występują niezwykle często w przypadku urządzeń na stałe połączonych z internetem. W tym przypadku haker musiałby znaleźć się pomiędzy serwerem aktualizacji a użytkownikiem i ten dodatkowy krok może zniechęcić wielu hakerów posiadających ograniczone umiejętności.
Użytkownicy mogą podjąć pewne działania doraźne, dopóki nie pojawi się stałe rozwiązanie problemu:
każdy, kto korzysta z urządzenia TVS-663 firmy QNAP lub innych urządzeń z tym samym oprogramowaniem (QTS w wersji 4.2 lub późniejszej), powinien wyłączyć automatyczne sprawdzanie dostępnych aktualizacji oprogramowania i poszukiwać go ręcznie w bezpiecznych źródłach.
