Warten auf Patches: Sicherheitsforscher untersuchen NAS-System Qnap QTS

Netzwerkspeicher (NAS) von Qnap sind verwundbar und Angreifer können im schlimmsten Fall Schadcode ausführen. Es gibt zwar schon Sicherheitsupdates, aber derzeit haben die Entwickler noch nicht alle Sicherheitsprobleme gelöst. Darunter fällt etwa eine Sicherheitslücke, für die bereits Exploitcode verfügbar ist. Attacken können also bevorstehen.

Patchen, was geht

Während einer Analyse des NAS-Betriebssystem Qnap QTS haben Sicherheitsforscher von Watchtowr insgesamt 15 Sicherheitslücken entdeckt. Die Ergebnisse führen sie in einem jüngst veröffentlichten Bericht aus. Sie geben an, dass Qnap bislang vier der Lücken geschlossen hat.

Sechs Schwachstellen untersuche der NAS-Hersteller derzeit, berichten die Forscher. Für die verbleibenden Lücken stehen zurzeit keine weiterführenden Informationen zur Verfügung. Darüber hinaus gibt es zwar schon einige CVE-Nummern für die Schwachstellen, eine Einstufung des Bedrohungsgrads steht aber noch aus.

Mögliche Attacken

Einige bereits im April dieses Jahres geschlossene Schwachstellen (QTS 5.1.6.2722 build 20240402 und QuTS hero h5.1.6.2734 build 20240414) stuft Qnap mit „mittel“ ein. Um an den Lücken ansetzen zu können, benötigen Angreifer in den meisten Fällen einen Zugriff auf einen gültigen NAS-Account und Netzwerkzugriff.

Attacken sind also nicht ohne Weiteres möglich. Ist das gegeben, können Angreifer aufgrund von unzureichenden Überprüfungen präparierte Anfragen verschicken, um eigenen Code auszuführen. Außerdem können sie die Zwei-Faktor-Authentifizierung umgehen.

Ob und wann die Entwickler die verbleibenden Sicherheitslücken schließen, ist bislang unklar. Eine Antwort auf eine Anfrage von heise Security steht noch aus. Die Sicherheitsforscher empfehlen Qnap-NAS-Besitzern ihre Geräte bis dahin offline zu nehmen.

(des)