BSI warnt vor Ausnutzung von Schwachstellen in QNAP Betriebsystem

Die Cyber-Sicherheitswarnung des BSI thematisiert Sicherheitslücken in QNAP-Betriebssystemen QTS, QuTS hero und QuTScloud, die weitreichende Angriffe ermöglichen könnten. Es betrifft zahlreiche NAS-Lösungen, die über das Internet zugänglich sind. Die Schwachstellen CVE-2023-50358 und CVE-2023-47218 haben mittlere Kritikalität, aber aufgrund der hohen Anzahl betroffener Geräte besteht ein erhebliches Risiko.

Die CVE-2023-5058-Schwachstelle betrifft eine unzureichende Eingabevalidierung während des Systemstarts im Phoenix SecureCore™ Technology™ 4, die zu Denial-of-Service-Angriffen oder der Ausführung von beliebigem Code führen könnte. Die Schwere dieser Schwachstelle wird mit einem CVSS-Basiswert von 7.8 als hoch eingestuft.

CVE-2023-47218 ist eine Schwachstelle für OS-Befehlsinjektion in mehreren QNAP-Betriebssystemversionen, die es ermöglicht, über ein Netzwerk Befehle auszuführen. Betroffen sind bestimmte Versionen von QTS, QuTS hero und QuTScloud. QNAP hat die Schwachstelle in späteren Versionen behoben. Sie wird mit einem CVSS-Score von 5.8 bewertet, was auf eine mittlere Schwere hindeutet.

Für mehr Informationen zu Angriffe auf QNAP empfehlen wir unseren Blog Artikel zu Deadbolt Angriffen auf QNAP NAS.

Tags :

Related Posts

SAP Patch Day Februar 2024 behebt kritische Sicherheitslücken

Am 13. Februar 2024 veröffentlichte SAP im Rahmen seines Sicherheits-Patch-Tages Updates, die 13 neue Sicherheitshinweise sowie Aktualisierungen zu 3 zuvor veröffentlichten Sicherheitshinweisen umfassten. Zu den bemerkenswerten Veröffentlichungen gehörten Korrekturen für Schwachstellen, die als “Hot News” und “High” eingestuft wurden, einschließlich Problemen im Zusammenhang mit Code-Injektion, Cross-Site Scripting (XSS), XXE-Schwachstellen, unsachgemäßer Zertifikatsvalidierung und mehr in verschiedenen SAP-Produkten wie SAP ABA, NetWeaver AS Java, SAP Business Client, SAP Cloud Connector und SAP CRM WebClient UI.

Read More

Microsoft 365 Konten von Führungskräften im Ziel von Hackern

Eine seit November 2023 laufende Kampagne zur Kontoübernahme bei Microsoft Azure, richtet sich gegen Führungskräfte,. Diese Kampagne hat erfolgreich Hunderte von Benutzerkonten in zahlreichen Microsoft Azure-Umgebungen kompromittiert, einschließlich derer von leitenden Führungskräften.

Read More

Kritische Sicherheitslücke in Microsofts Internetverknüpfungsdateien

Am 13. Februar 2024 wurde ein Sicherheits-Notiz von Microsoft veröffentlicht, die zum Patchen nach Bekanntwerden der kritischen Sicherheitslücke CVE-2024-21412 mit CVSS 8.1/10 aufruft. die Sicherheitslücke erlaubt einen Sicherheitsfunktionsumgehung bezogen auf Internetverknüpfungsdateien. Diese Schwachstelle ermöglicht es einem Angreifer, Sicherheitsmechanismen zu umgehen, die eigentlich die Ausführung nicht autorisierten Codes über Internetverknüpfungsdateien verhindern sollen. Bei Ausnutzung könnte diese Schwachstelle dazu führen, dass beliebiger Code auf dem System eines Opfers ohne dessen Wissen oder Zustimmung ausgeführt wird.

Read More