Avviso: Nuove Vulnerabilità QNAP e Kyocera Device Manager, Correzioni Disponibili
QNAP e Kyocera Device Manager
Una falla di sicurezza è stata scoperta nel prodotto Kyocera Device Manager, aperta a possibili attività dannose da parte di malintenzionati sui sistemi coinvolti.
Trustwave ha riferito: “Questa vulnerabilità consente agli attaccanti di forzare tentativi di autenticazione verso risorse proprie, come ad esempio una condivisione SMB malevola, per catturare o trasmettere credenziali hash del Active Directory se la politica di sicurezza ‘Limita NTLM: Traffico NTLM in uscita verso server remoti’ non è abilitata.”
Kyocera, etichettata come CVE-2023-50916, ha descritto la vulnerabilità come un problema di attraversamento di percorso che permette a un attaccante di intercettare e modificare un percorso di backup del database in un percorso di denominazione universale (UNC).
Ciò induce l’applicazione web a tentare di autenticare il percorso UNC manipolato, portando a un accesso non autorizzato agli account dei clienti e al furto di dati, potenzialmente abilitando attacchi di relay NTLM.
Il problema è stato risolto nella versione 3.1.1213.0 di Kyocera Device Manager. QNAP Rilascia Correzioni per Diverse Falle
Questa evoluzione coincide con il rilascio di correzioni da parte di QNAP per diverse vulnerabilità, tra cui difetti di elevata gravità che coinvolgono QTS e QuTS hero, QuMagie, Netatalk e Video Station.
Tra queste vi è CVE-2023-39296, una vulnerabilità di inquinamento del prototipo che potrebbe consentire ad attaccanti remoti di sovrascrivere attributi esistenti, portando al crash del sistema.
Il problema è stato risolto nelle versioni QTS 5.1.3.2578 build 20231110 e QuTS hero h5.1.3.2578 build 20231110. Sicurezza Informatica
Le altre falle significative includono:
- CVE-2023-47559: Vulnerabilità XSS in QuMagie risolta in versioni successive
- CVE-2023-47560: Vulnerabilità di iniezione di comandi in QuMagie risolta in versioni successive
- CVE-2023-41287: Vulnerabilità SQL injection in Video Station risolta in versioni successive
- CVE-2023-41288: Vulnerabilità di iniezione di comandi in Video Station risolta in versioni successive
- CVE-2022-43634: Vulnerabilità di esecuzione di codice remoto non autenticato in Netatalk risolta nelle versioni QTS 5.1.3.2578 build 20231110 e QuTS hero h5.1.3.2578 build 20231110
Nonostante non ci siano segnalazioni di exploit attivi, è consigliato agli utenti di aggiornare le proprie installazioni per mitigare potenziali rischi.