QNAP แก้ไขช่องโหว่ระดับ Critical ในอุปกรณ์ NAS ด้วยการอัปเดตแพตซ์รอบล่าสุด

บริษัท QNAP ของไต้หวันได้เผยแพร่การอัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ที่มีผลกระทบต่อ network-attached storage (NAS) ซึ่งอาจนำไปสู่การโจมตีแบบ code injection

CVE-2022-27596 มีคะแนน CVSS 9.8 จากสูงสุด 10 โดยจะส่งผลกระทบต่อ QTS 5.0.1 และ QuTS hero 5.0.1

QNAP ระบุในคำแนะนำที่เผยแพร่เมื่อวันจันทร์ว่า หากช่องโหว่ดังกล่าวสามารถถูกโจมตีได้สำเร็จ ช่องโหว่นี้จะทำให้ผู้โจมตีสามารถแทรกโค้ดที่เป็นอันตรายเข้าสู่ QNAP ได้

แม้ข้อมูลเฉพาะทางเทคนิคยังไม่ชัดเจน แต่ NIST National Vulnerability Database (NVD) ได้จัดหมวดหมู่ช่องโหว่ดังกล่าวว่าเป็นช่องโหว่ SQL Injection ซึ่งหมายความว่าเป็นช่องโหว่ในการแทรกโค้ด SQL ที่ทำให้ผู้โจมตีสามารถส่ง SQL queries ที่ถูกสร้างขึ้นมาเป็นพิเศษเพื่อโจมตีอุปกรณ์ที่มีช่องโหว่ เพื่อเข้าถึง หรือแก้ไขข้อมูลบนระบบได้

MITRE ระบุในลักษณะเดียวกันว่า ช่องโหว่ดังกล่าวมีความเป็นไปได้ที่จะทำให้ผู้โจมตีเข้าถึงข้อมูลที่มีความสำคัญ แก้ไข เปลี่ยนแปลง หรือแม้แต่ลบข้อมูลด้วยการโจมตีแบบ SQL Injection ดังกล่าว

QTS และ QuTS hero ควรอัปเกรดเป็นเวอร์ชันต่อไปนี้เพื่อให้ปลอดภัย

• QTS 5.0.1.2234 build 20221201 และใหม่กว่า
• QuTS hero h5.0.1.2248 build 20221215 และใหม่กว่า

ช่องโหว่ Zero-day ในอุปกรณ์ QNAP นี้เคยถูกใช้ในการโจมตีแล้วโดยกลุ่ม DeadBolt ransomware จึงแนะนำให้ผู้ใช้งานรีบอัปเดตให้เป็นเวอร์ชั่นล่าสุดเพื่อลดความเสี่ยงจากการโจมตีที่อาจจะเกิดขึ้น

วิธีการอัปเดต

• เข้าสู่ระบบ QTS หรือ QuTS Hero ในฐานะผู้ดูแลระบบ ไปที่ Control Panel > System > Firmware Update และในส่วน " Live Update " คลิกตัวเลือก " Check for Update " และรอให้การดาวน์โหลด และติดตั้งเสร็จสิ้น

ที่มา : thehackernews