官方公众号企业安全新浪微博

FreeBuf+小程序把安全装进口袋

• 资讯

Security Affairs 网站披露，NAS 厂商 QNAP（威联通）在安全公告表示， QTS 5.0.1 和 QuTS hero h5.0.1 两款软件中存在严重漏洞 （追踪为 CVE-2022-27596，CVSS v3 评分：9.8）。

据悉，即使远程攻击者没有获得用户交互权限或易受攻击设备上其它权限，也可以轻松利用 CVE-2022-27596 漏洞在受影响的 QNAP 设备上注入恶意代码。

漏洞影响 QTS 5.0.1 和 QuTS hero h5.0.1 版本。

漏洞披露不久后，QNAP 就发布了 QTS 和 QuTS 固件安全更新。目前，以下操作系统版本已修复了 CVE-2022-27596 漏洞。

QTS 5.0.1.2234 build 20221201 及更高版本

QuTS hero h5.0.1.2248 build 20221215 及更高版本

网络安全公司 Censys 对互联网上暴露的 QNAP 设备进行了全面扫描，发现 30000 台设备运行 QTS 5.0.1 和 QuTS hero h5.0.1易受攻击的版本，可能会受到 CVE-2022-27596 漏洞的影响。

此外，Censys 对 67415 台据称运行基于 QNAP 系统的主机进行了检查，但只从 30520 台主机中获得了版本号。在这 30520 台具有版本的主机中，只有 557 台更新了安全补丁，这意味着 29968 台主机可能受到 CVE-2022-27596 漏洞的影响。值得一提的是，其中易感染的系统主要位于意大利（3200）、美国（3149）和台湾（1942）。

易受攻击的版本：

最后，Censys 强调一旦 CVE-2022-27596 漏洞被网络犯罪分子发布并武器化，可能会给成千上万的 QNAP 用户带来麻烦。因此强烈建议用户立刻升级其 QNAP 设备，以免遭受网络攻击。

文章来源：

https://securityaffairs.com/141705/hacking/qnap-nas-vulnerable-cve-2022-27596.html