QNAP-apparaten door drie jaar oud PHP-lek kwetsbaar voor aanvallen

[Captain Kirk]

Een drie jaar oud PHP-beveiligingslek in de software waar NAS-apparaten van fabrikant QNAP op draaien maakt het mogelijk voor aanvallers om op afstand code uit te voeren. De kwetsbaarheid, aangeduid als CVE-2019-11043, werd zoals het CVE-nummer weergeeft al in 2019 ontdekt. Voor verschillende Linux-distributies verschenen destijds beveiligingsupdates

Vandaag meldt QNAP dat de kwetsbaarheid ook aanwezig is in verschillende versies van QTS, QuTS hero en QuTScloud. Dit zijn de besturingssystemen waar QNAP NAS-systemen op draaien die ook van PHP gebruikmaken. Via het beveiligingslek is remote code execution mogelijk en kan een aanvaller op afstand code op het NAS-systeem uitvoeren.

Verdere details zijn niet door QNAP gegeven, behalve dat het probleem in QTS 5.0.1.2034 build 20220515 en nieuwer en QuTS hero h5.0.0.2069 build 20220614 en nieuwer is verholpen. Gebruikers wordt aangeraden om naar de laatste versie van het besturingssysteem te updaten.

 

bron: https://www.security.nl