آسیب‌پذیری حیاتی تزریق کد SQL در دستگاه‌های NAS کمپانی QNAP
اخبار داغ فناوری اطلاعات و امنیت شبکه
شرکت تایوانی QNAP بروزرسانی‌هایی را برای رفع نقص امنیتی حیاتی که بر دستگاه‌های استوریج متصل به شبکه یا Network-Attached Storage (NAS) تاثیر می‌گذارد، منتشر کرده است که می‌تواند منجر به تزریق کد دلخواه شود.
این آسیب‌پذیری که به‌عنوان CVE-2022-27596 رد‌یابی و معرفی می‌شود، در مقیاس امتیازدهی CVSS، امتیاز 9.8 از حداکثر 10 را به خود اختصاص داده است که QTS 5.0.1 و QuTS hero h5.0.1 را تحت تاثیر قرار می‌دهد.
کمپانی QNAP در توصیه امنیتی که دوشنبه منتشر شد، گفت : "اگر این آسیب‌پذیری مورد سواستفاده قرار گیرد، به مهاجمان راه دور اجازه می‌دهد که کد مخرب را تزریق کنند. "
مشخصات فنی دقیق پیرامون این نقص نامشخص است، اما پایگاه داده ملی آسیب‌پذیری NIST (NVD) آن را به‌عنوان آسیب‌پذیری تزریق SQL طبقه‌بندی کرده است.
این بدان معناست که یک مهاجم می‌تواند کوئری‌های SQL ساخته‌شده‌ای را بفرستد، به گونه‌ای که می‌توانند برای دور زدن کنترل‌های امنیتی و دسترسی یا تغییر اطلاعات ارزشمند، به یک سلاح سایبری تبدیل شوند.
طبق گزارش MITRE، «همانطور که ممکن است بتوان اطلاعات حساس را خواند، امکان ایجاد تغییرات یا حتی حذف این اطلاعات با یک حمله تزریق SQL نیز وجود دارد».
این آسیب‌پذیری در نسخه‌های QTS 5.0.1.2234 بیلد 20221201 و جدید‌تر و همچنین QuTS hero h5.0.1.2248 بیلد 20221215 به‌بعد برطرف شده است.
آسیب‌پذیری‌های روز صفر در دستگاه‌های QNAP افشا شده توسط عاملان باج‌افزار DeadBolt برای نفوذ به شبکه‌های هدف، مورد استفاده قرار‌گرفته‌اند، و بروزرسانی به آخرین نسخه برای کاهش تهدیدات بالقوه بسیار ضروری به نظر می‌رسد.
برای اعمال بروزرسانی‌ها، به‌کاربران توصیه می‌شود که با اکانت ادمین به QTS یا QuTS hero وارد شوند، به Control Panel > System > Firmware Update رفته و «Check for Update» را در بخش «Live Update» انتخاب کنند.
برچسب ها: CVE-2022-27596, DeadBolt, QTS, Network-attached storage, QuTS Hero, باج‌افزار, NIST, QNAP NAS, NAS, QNAP, SQL injection, ransomware , دفاع سایبری, تهدیدات سایبری, Cyber Security, SQL, امنیت سایبری, Cyber Attacks, حمله سایبری, news