Warten auf Patches: Sicherheitsforscher untersuchen NAS-System Qnap QTS
Sicherheitsforscher haben 15 Schwachstellen im NAS-Betriebssystem Qnap QTS entdeckt. Bislang wurden nicht alle LĂĽcken geschlossen.
(Bild: Artur Szczybylo/Shutterstock.com)
Netzwerkspeicher (NAS) von Qnap sind verwundbar und Angreifer können im schlimmsten Fall Schadcode ausführen. Es gibt zwar schon Sicherheitsupdates, aber derzeit haben die Entwickler noch nicht alle Sicherheitsprobleme gelöst. Darunter fällt etwa eine Sicherheitslücke, für die bereits Exploitcode verfügbar ist. Attacken können also bevorstehen.
Patchen, was geht
Während einer Analyse des NAS-Betriebssystem Qnap QTS haben Sicherheitsforscher von Watchtowr insgesamt 15 Sicherheitslücken entdeckt. Die Ergebnisse führen sie in einem jüngst veröffentlichten Bericht aus. Sie geben an, dass Qnap bislang vier der Lücken geschlossen hat.
Sechs Schwachstellen untersuche der NAS-Hersteller derzeit, berichten die Forscher. FĂĽr die verbleibenden LĂĽcken stehen zurzeit keine weiterfĂĽhrenden Informationen zur VerfĂĽgung. DarĂĽber hinaus gibt es zwar schon einige CVE-Nummern fĂĽr die Schwachstellen, eine Einstufung des Bedrohungsgrads steht aber noch aus.
Mögliche Attacken
Einige bereits im April dieses Jahres geschlossene Schwachstellen (QTS 5.1.6.2722 build 20240402 und QuTS hero h5.1.6.2734 build 20240414) stuft Qnap mit „mittel“ ein. Um an den Lücken ansetzen zu können, benötigen Angreifer in den meisten Fällen einen Zugriff auf einen gültigen NAS-Account und Netzwerkzugriff.
Attacken sind also nicht ohne Weiteres möglich. Ist das gegeben, können Angreifer aufgrund von unzureichenden Überprüfungen präparierte Anfragen verschicken, um eigenen Code auszuführen. Außerdem können sie die Zwei-Faktor-Authentifizierung umgehen.
Ob und wann die Entwickler die verbleibenden Sicherheitslücken schließen, ist bislang unklar. Eine Antwort auf eine Anfrage von heise Security steht noch aus. Die Sicherheitsforscher empfehlen Qnap-NAS-Besitzern ihre Geräte bis dahin offline zu nehmen.
(des)
