Alert GCSA-24039 - Vulnerabilita' multiple in NAS QNAP

******************************************************************

Alert ID: GCSA-24039
Data: 13 Marzo 2024
Titolo: Vulnerabilita' multiple in NAS QNAP

******************************************************************


:: Descrizione del problema

Sono state identificate vulnerabilita' multiple nei NAS QNAP, di cui 3
di livello critico, che potrebbero consentire ad un attaccante remoto
di eseguire codice arbitrario su un sistema che ne sia affetto


:: Software interessato

QTS 5.1.x versioni precedenti alla 5.1.3.2578 build 20231110
QTS 4.5.x versioni precedenti alla 4.5.4.2627 build 20231225
QuTS hero h5.1.x versioni precedenti alla h5.1.3.2578 build 20231110
QuTS hero h4.5.x versioni precedenti alla h4.5.4.2626 build 20231225
QuTScloud c5.x versioni precedenti alla QuTScloud c5.1.5.2651
myQNAPcloud 1.0.x versioni precedenti alla myQNAPcloud 1.0.52 (2023/11/24)


:: Impatto

Remote Code Execution
Autentaication bypass
Data Maniupulation


:: Soluzioni

Aggiornare i sistemi alle ultime versioni rilasciate:
https://www.qnap.com/en/security-advisory/qsa-24-09


:: Riferimenti

QNAP Security Advisory:
https://www.qnap.com/en/security-advisory/qsa-24-09

CSIRT Italia
https://www.csirt.gov.it/contenuti/vulnerabilita-in-prodotti-qnap-al01-240311-csirt-ita

Mitre CVE:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-21899
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-21900
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-21901



GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert




-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZfF0lwAKCRDBnEyTZRJg
Qrk2AJ9ygHySs0E3guANdUWXgVhnDnnsgwCcDAWOobnJMG8VphZuWR0lgDRfSRI=
=IzQq
-----END PGP SIGNATURE-----