QNAP Systems, el fabricante de accesorios NAS, ha lanzado urgentemente parches para 24 vulnerabilidades en todos sus productos, incluyendo dos vulnerabilidades críticas que podrían permitir la ejecución no autorizada de comandos. Aunque estas vulnerabilidades son serias, QNAP no ha informado de ningún caso en el que se hayan aprovechado estas fallas en la vida real. El movimiento de la empresa con sede en Taiwán es más proactivo frente a ataques potencialmente peligrosos.
Según Security Week, las vulnerabilidades más preocupantes, identificadas como CVE-2023-45025 y CVE-2023-39297, son fallas de inyección de comandos en el sistema operativo. Estas vulnerabilidades existen en las versiones QTS 5.1.x y 4.5.x, QuTS hero h5.1.x y h4.5.x, así como QuTScloud 5.x. La primera vulnerabilidad puede ser manipulada por los usuarios para ejecutar comandos en la red en ciertas configuraciones del sistema, mientras que la segunda requiere autorización para una explotación efectiva.
QNAP también ha lanzado parches para otras dos vulnerabilidades, identificadas como CVE-2023-47567 y CVE-2023-47568. Estas vulnerabilidades explotables de forma remota existen en QTS, QuTS hero y QuTScloud, y requieren autorización de administrador. La primera es una vulnerabilidad de inyección de comandos en el sistema operativo, y la segunda es una vulnerabilidad de inyección de SQL.
Las cuatro de estas vulnerabilidades han sido solucionadas en las últimas versiones de QTS, QuTS hero y QuTScloud. También se ha corregido otra vulnerabilidad importante con el identificador CVE-2023-47564, que afectaba a las versiones de Qsync Central 4.4.x y 4.3.x. Esta falla habría permitido a los usuarios autenticados leer o modificar recursos críticos de la red.
Además de estas vulnerabilidades críticas, QNAP también ha corregido numerosas vulnerabilidades de gravedad media que podrían llevar a la ejecución de código, ataques de denegación de servicio, ejecución de comandos, elusión de restricciones, fuga de datos e inyección de código.
Para obtener información más detallada sobre estas vulnerabilidades, se recomienda a los usuarios visitar la página de seguridad de QNAP.
Preguntas frecuentes:
Q: ¿Qué vulnerabilidades ha solucionado QNAP?
A: QNAP ha solucionado 24 vulnerabilidades en todos sus productos, incluyendo dos vulnerabilidades críticas relacionadas con la inyección de comandos en el sistema operativo y vulnerabilidades de inyección de SQL.
Q: ¿Cuáles son los identificadores de estas vulnerabilidades?
A: Las vulnerabilidades críticas se llaman CVE-2023-45025 y CVE-2023-39297, las vulnerabilidades que requieren autorización de administrador son CVE-2023-47567 y CVE-2023-47568, y el identificador de la vulnerabilidad que afecta a Qsync Central es CVE-2023-47564.
Q: ¿Qué versiones de los sistemas de QNAP se vieron afectadas por estas vulnerabilidades?
A: Las vulnerabilidades estaban presentes en las versiones QTS 5.1.x y 4.5.x, QuTS hero h5.1.x y h4.5.x, así como QuTScloud 5.x.
Q: ¿Hubo algún caso en el que se aprovecharon estas fallas en la vida real?
A: QNAP no ha informado de ningún caso en el que se hayan aprovechado estas fallas en la vida real.
Q: ¿Cuáles podrían ser las consecuencias de aprovechar estas vulnerabilidades?
A: Aprovechar estas vulnerabilidades podría permitir la ejecución de comandos en la red, la manipulación del sistema operativo, así como la fuga o modificación de recursos críticos en la red.
Enlaces relacionados:
– Sitio web oficial de QNAP
– Más información de TechRadar Pro.
The source of the article is from the blog regiozottegem.be