PT-2024-1010 · Qnap · Qnap Qts+1

Rekter0 · Publicado 2024-01-05 · Atualizado 2024-01-11 · CVE-2023-39294

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do QNAP QTS anteriores à 5.1.3.2578 build 20231110

Versões do QNAP QuTS hero anteriores à 5.1.3.2578 build 20231110

Descrição

Um problema de injeção de comando no sistema operacional afeta as versões do sistema operacional QNAP, permitindo potencialmente que administradores autenticados executem comandos através de uma rede. A vulnerabilidade está relacionada à falha em neutralizar elementos especiais usados em comandos do sistema operacional, o que poderia permitir que um invasor remoto executasse comandos arbitrários usando dados especialmente criados.

Recomendações

Para versões do QNAP QTS anteriores à 5.1.3.2578 build 20231110, atualize para o QTS 5.1.3.2578 build 20231110 ou posterior.

Para versões do QNAP QuTS hero anteriores à 5.1.3.2578 build 20231110, atualize para o QuTS hero 5.1.3.2578 build 20231110 ou posterior.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-00149

CVE-2023-39294

Produtos afetados

Qnap Qts

Qnap Quts Hero

Referências · 6

• https://qnap.com/en/security-advisory/qsa-23-54 · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2024010805 · Nota
• https://bdu.fstec.ru/vul/2024-00149 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-39294 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1743354126442938457 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-39294 · Nota de Segurança