QNAP NAS QNAP – CVE-2024-27130 : un exploit PoC a été publié pour cette faille de sécurité zero-day

schwinny

Chevalier Jedi
6 Janvier 2018
348
138
98
Source: https://www.it-connect.fr/nas-qnap-cve-2024-27130-zero-day-exploit-poc/

NAS QNAP – CVE-2024-27130 : un exploit PoC a été publié pour cette faille de sécurité zero-day​


Des chercheurs en sécurité ont effectué un gros travail de recherche de vulnérabilités sur le système QTS utilisé par les NAS QNAP. Ils sont parvenus à identifier 15 failles de sécurité, plus ou moins sérieuse ! Faisons le point !
https://go.ezodn.com/ads/charity/pr...stle.org.uk/get-involved/donate/&ffid=1&co=FR
Les chercheurs en sécurité de WatchTowr Labs ont mis en ligne un rapport au sujet de 15 vulnérabilités qu'ils ont découvertes dans le système QTS de QNAP. Enfin, il ne s'agit pas du seul système analysé puisqu'ils ont également analysé les versions QTS Hero et QuTS Cloud.

Pour le moment, 11 vulnérabilités ne sont toujours pas corrigées, et certaines sont encore sous embargo, alors que QNAP a été averti entre le 8 décembre 2023 et le 8 janvier 2024. Voici la liste des CVE patchées par QNAP : CVE-2023-50361, CVE-2023-50362, CVE-2023-50363 et CVE-2023-50364.

La faille de sécurité CVE-2024-27130​

https://go.ezodn.com/ads/charity/pr...s://www.artworks-sy.co.uk/donate&ffid=1&co=FR
L'une de ces failles de sécurité, associée à la référence CVE-2024-27130, mérite une attention particulière. Cette vulnérabilité de type "stack buffer overflow" présente dans la fonction "No_Support_ACL" du fichier "share.cgi" permet à un attaquant d'exécuter du code à distance sur le NAS QNAP. Néanmoins, l'exploitation n'est pas simple, car l'attaquant doit pouvoir se connecter au NAS QNAP, avec un compte lambda, de façon à manipuler la fonction de partage de fichiers.

À ce jour, cette faille de sécurité est connue publiquement et elle n'a pas été corrigée par QNAP alors qu'elle a été reportée au fabricant de NAS le 3 janvier 2024 : une belle faille de sécurité zero-day.
À chaque fois, QNAP a demandé un délai supplémentaire à WatchTowr Labs. Mais, désormais, le temps presse... Les chercheurs en sécurité de WatchTowr Labs quant à eux, ont mis en ligne un exploit PoC pour cette même vulnérabilité: il est disponible sur ce GitHub. Tous les détails techniques sont fournis pour indiquer comment l'exploiter, bien qu'elle ne soit pas corrigée.
https://go.ezodn.com/ads/charity/pr...tps://joinourvillage.org/donate/&ffid=1&co=FR
En exploitant cette faille, les chercheurs de WatchTowr Labs sont parvenus à créer un compte nommé "watchtowr" sur le NAS et à l'ajouter au fichier "sudoers" pour lui permettre d'élever ses privilèges sur le NAS.

Désormais, le correctif de QNAP est attendu, que ce soit pour cette vulnérabilité ou toutes les autres non corrigées pour le moment.
 
reponse de Taiwan :

All the disclosed issues need valid accounts for exploit
The article seems published a little ahead. All security updates will be done in coming release.
 
Hello,
Sans vouloir minimiser la gravité de la faille, il faut forcément un accès a compte valide sur le NAS pour exploiter cela.

D'apres QNAP, le patch est prêt, et sera disponible dans la prochaine version du firmware ( actuellement en cours de test ).