QNAP łata krytyczne luki w Hybrid Backup Sync 3 – aktualizacja już dostępna

QNAP wydał pilną łatkę dla Hybrid Backup Sync 3 (HBS 3), narzędzia do tworzenia kopii zapasowych, które korzysta z protokołu Rsync. Aktualizacja ma na celu usunięcie szeregu krytycznych podatności związanych z Rsync, które mogą zostać wykorzystane przez cyberprzestępców do przejęcia kontroli nad urządzeniami użytkowników.

Lista podatności w Rsync

Luki w zabezpieczeniach Rsync, które wpływają na HBS 3, obejmują:

• CVE-2024-12084 – przepełnienie bufora sterty, umożliwiające atakującemu wykonanie dowolnego kodu,
• CVE-2024-12086 – błąd pozwalający na nieautoryzowany dostęp do plików,
• CVE-2024-12087 – luka umożliwiająca zapisywanie złośliwych plików w dowolnych lokalizacjach,
• CVE-2024-12088 – podatność wynikająca z niewłaściwej obsługi dowiązań symbolicznych,
• CVE-2024-12747 – błąd pozwalający na obejście domyślnych zabezpieczeń Rsync i uzyskanie dostępu do poufnych danych.

Pilna potrzeba aktualizacji

Wszystkie wymienione luki razem tworzą poważne zagrożenie dla użytkowników, dając potencjalnym atakującym możliwość wykonania własnego kodu i kradzieży danych. Co więcej, do przeprowadzenia ataku może wystarczyć jedynie anonimowy dostęp do odczytu.

Shodan, narzędzie do analizy urządzeń dostępnych w sieci, wykrywa ponad 750 000 serwerów wykorzystujących Rsync na całym świecie. Nie jest jednak jasne, ile z nich jest podatnych na te konkretne luki.

Jak zaktualizować HBS 3?

Aby zabezpieczyć swoje urządzenie, użytkownicy powinni jak najszybciej zainstalować najnowszą wersję Hybrid Backup Sync 3. Proces aktualizacji można przeprowadzić z poziomu systemów QTS lub QuTS:

• Otworzyć App Center w panelu administracyjnym QNAP.
• Wyszukać HBS 3 Hybrid Backup Sync.
• Kliknąć Aktualizuj i postępować zgodnie z instrukcjami.

Konsekwencje braku aktualizacji

Niezałatanie podatności może skutkować przejęciem urządzenia przez hakerów, co może prowadzić do kradzieży danych lub wykorzystania serwera do dalszych ataków. Warto pamiętać, że Rsync jest szeroko stosowany nie tylko przez QNAP, ale także przez inne systemy i rozwiązania do synchronizacji danych.

QNAP zaleca natychmiastową aktualizację, aby zminimalizować ryzyko ataków i zapewnić bezpieczeństwo danych przechowywanych na serwerach NAS.