TLP: Amber
NIVEL DE RIESGO – [Crítico]
Acción Requerida: Aplicar las actualizaciones publicadas por Qnap a los productos afectados.
Vector de ataque: Remoto.
Impacto: Control total del dispositivo.

Descripción

El día de ayer Qnap publicó un aviso de seguridad informando a sus usuarios acerca de dos vulnerabilidades presentes en la aplicación “Helpdesk”, la cual viene integrada en los dispositivos de almacenamiento de la red NAS (Network Attached Storage) y permite conectarse de forma remota al equipo. Los identificadores asignados a esta fallas son:

  1. CVE-2020-2506 (Crítica)
  2. CVE-2020-2507 (Crítica)

Ambas vulnerabilidades son causadas por una inadecuada verificación de acceso y podrían permitir que un usuario malicioso obtenga el control total del dispositivo Qnap afectado.

Hasta el momento, Qnap asegura que no ha identificado ninguna campaña maliciosa para aprovechar alguna de estas fallas, no obstante, recomienda a los administradores actualizar sus sistemas a la última versión disponible.

Finalmente, es importante mencionar que a finales del mes de septiembre se han visto algunas campañas maliciosas dirigidas a dispositivos Qnap expuestos a Internet, por ejemplo, ataques del ransomware AgeLocker, por lo que la organización ha emitido advertencias sobre lo importante que es mantener sus sistemas actualizados e instalar la última versión disponible de QTS, firmware de los dispositivos Qnap.

Nivel de riesgo

  • Crítico

Sistemas/tecnologías afectadas:

  • Dispositivos QNAP

Medidas de erradicación

A continuación, se listan las actualizaciones publicadas por QNAP para corregir las fallas reportadas en esta alerta:

  • Helpdesk 3.0.3 o superior

Referencias