QNAP แจ้งเตือนช่องโหว่ระดับ Critical ของ ASP.NET ใน Windows backup software

QNAP แจ้งเตือนลูกค้าให้อัปเดตแพตช์เพื่อแก้ไขช่องโหว่ ASP.NET Core ที่มีความรุนแรงระดับ Critical ซึ่งส่งผลกระทบต่อ NetBak PC Agent ซึ่งเป็น Windows utility สำหรับสำรองข้อมูลไปยังอุปกรณ์จัดเก็บข้อมูลแบบ Network-attached storage (NAS) ของ QNAP

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2025-55315 โดยเป็นช่องโหว่ security bypass ใน Kestrel ASP.NET Core web server โดยเป็นช่องโหว่ที่ทำให้ผู้โจมตีที่มีสิทธิ์ระดับต่ำ สามารถขโมยข้อมูล Credentials ของผู้ใช้รายอื่น หรือ bypass ระบบ front-end security controls ผ่านการ HTTP request smuggling

QNAP ระบุว่า NetBak PC Agent จะต้องพึ่ง Microsoft ASP.NET Core components ในระหว่างการติดตั้ง ดังนั้น คอมพิวเตอร์ที่ใช้งาน NetBak PC Agent อาจมี ASP.NET Core เวอร์ชันที่ได้รับผลกระทบ หากระบบไม่ได้มีการอัปเดตแพตช์

QNAP แนะนำผู้ใช้ตรวจสอบให้แน่ใจว่าระบบ Windows ของตนได้ติดตั้งอัปเดต Microsoft ASP.NET Core เวอร์ชันล่าสุดแล้วหรือไม่

เพื่อรักษาความปลอดภัยของระบบจากการโจมตีที่อาจเกิดขึ้น ผู้ใช้ QNAP ควรติดตั้งแอป NetBak PC Agent ใหม่ เพื่อให้มี runtime components ASP.NET Core เวอร์ชันล่าสุด หรืออัปเดต ASP.NET Core บนเครื่องคอมพิวเตอร์ด้วยตนเอง โดยดาวน์โหลด และติดตั้ง ASP.NET Core Runtime (Hosting Bundle) ล่าสุดจากหน้าดาวน์โหลด .NET 8.0

ตามที่ Barry Dorrans ผู้จัดการโครงการด้านความปลอดภัยของ .NET ได้อธิบายไว้เมื่อสองสัปดาห์ก่อน ในขณะที่ Microsoft ออกแพตช์สำหรับช่องโหว่นี้ (ซึ่งถูกจัดระดับความรุนแรงเป็น highest ever สำหรับช่องโหว่ด้านความปลอดภัยของ ASP.NET Core) และในส่วนของผลกระทบของการโจมตีโดยใช้ช่องโหว่ CVE-2025-55315 จะขึ้นอยู่กับแอปพลิเคชัน ASP.NET ที่ตกเป็นเป้าหมาย

การโจมตีที่ประสบความสำเร็จอาจทำให้ผู้โจมตีสามารถเข้าสู่ระบบได้ในฐานะ another user (เพื่อยกระดับสิทธิ์) และ bypass การตรวจสอบ cross-site request forgery (CSRF) หรือทำการโจมตีแบบ injection ได้

QNAP ระบุเพิ่มเติมว่า หากถูกโจมตีได้สำเร็จ ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้ว จะสามารถส่ง HTTP requests ที่สร้างขึ้นมาเป็นพิเศษไปยังเว็บเซิร์ฟเวอร์ ซึ่งส่งผลให้มีการเข้าถึงข้อมูลที่สำคัญโดยไม่ได้รับอนุญาต และอาจมีการแก้ไขไฟล์บนเซิร์ฟเวอร์ หรือทำให้เกิด denial-of-service เกิดขึ้นได้

ในเดือนมกราคมที่ผ่านมา QNAP ยังได้เผยแพร่การอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ rsync จำนวนมากใน HBS 3 Hybrid Backup Sync 25.1.x ซึ่งเป็นโซลูชันสำรองข้อมูล และการกู้คืนระบบของบริษัท โดยช่องโหว่เหล่านี้อาจทำให้ผู้โจมตีจากภายนอก สามารถรันโค้ดที่สร้างขึ้นมาเป็นพิเศษบนอุปกรณ์ Network Attached Storage (NAS) ที่ยังไม่ได้อัปเดตแพตช์ได้

ที่มา : bleepingcomputer