|
QNAP NAS기기에 대한 QTS 취약점 해결 침해사고분석팀 2020.12.08 |
|
|
NAS(Network Attached Storage) 제조업체인 QNAP은 공격 성공 시 NAS기기를 제어할 수 있는 취약점을 해결하기 위한 보안 업데이트를 발표했다. 패치된 8가지의 취약점은 취약한 소프트웨어를 실행하는 모든 QNAP NAS 기기에 영향을 미친다.
이러한 명령 주입과 XSS(Cross Site Scripting) 취약점은 중간, 그리고 높음 심각도를 가진 것으로 평가되었다.
명령 주입 취약점을 활용하면 권한 상승이나 임의 명령 실행이 가능하며, 운영 체제에 대한 제어권을 획득할 수 있다
발견된 취약점의 CVE 코드는 다음과 같다. - CVE-2020-2491 - CVE-2020-2493 - CVE-2020-2494 - CVE-2020-2495 - CVE-2020-2496 - CVE-2020-2497 - CVE-2020-2498 - CVE-2020-2496 이러한 취약점은 QNAP QTS와 QuTS hero, QNAP 뮤직 스테이션, 멀티미디어 콘솔, 포토 스테이션의 취약한 버전에 영향을 미친다.
NAS기기는 일반적으로 백업 및 파일 공유에 사용되는 점을 고려했을 때, 중유한 문서를 훔치거나 악성 프로그램을 배포하려는 공격자의 목표물이 되기 쉽다.
QNAP은 지난 9월 AgeLocker가 포토 스테이션의 취약한 버전과 공개된 NAS 기기를 대상으로 공격하고 있다고 경고했으며, 같은 해 6월부터는 포토 스테이션의 취약점을 노린 eChoraix 랜섬웨어 공격 또한 경고했다.
Qihoo 360의 Network Security Research Lab은 8월 보고서에서 해커들이 취약한 NAS 기기를 검색하고 2017년 7월 QNAP이 언급한 원격 코드 실행 펌웨어 취약점을 이용하려 시도했다고 밝혔다.
출처 |
