Múltiples vulnerabilidades en protocolo SMB de productos QNAP

Este pasado 19 de Diciembre QNAP ha publicado un nuevo boletín de seguridad para impedir que se materialicen una serie de vulnerabilidades recientemente descubiertas en su software. Sigue leyendo para saber si tu producto está afectado y cómo puedes protegerte.

Cuando hablamos de QTS nos referimos al sistema operativo, implementado por parte del desarrollador con sede en Taiwan, para gestionar los NAS QNAP y sus servicios.

Vulnerabilidades SMB en QTS (NAS-201912-19)

Se han hallado 3 vulnerabilidades y estas afectan a la totalidad de las versiones SMB (Server Message Block https://es.wikipedia.org/wiki/Server_Message_Block) manejadas por el sistema operativo QTS. A continuación una breve descripción de cada una de ellas:

• CVE-2019-10218 – Servidores maliciosos podrían usar el código del cliente Samba para devolver nombres de archivo que contengan separadores, llamando a la ejecución de código.
• CVE-2019-14833 – Cuando una contraseña contiene múltiples caracteres no-ASCII, el «script de comprobación de contraseña» no recibe la cadena de contraseña completa.
• CVE-2019-14847 – Aquellos usuarios con acceso extendido de tipo «get changes» u «obtener cambios» podrían provocar un mal funcionamiento del servidor LDAP en controladores de dominio (DC) de Active Directory. Esto se produciría al recuperar un atributo usando la sintaxis de rango.

Actualizaciones disponibles

QNAP ha publicado las siguientes versiones actualizadas de su software, libres de vulnerabilidades:

• QTS 4.4.1: build 20191109 y posterior
• QTS 4.3.6: build 20191212 y posterior
• QTS 4.3.4: build 20191107 y posterior
• QTS 4.3.3: build 20191107 y posterior
• QTS 4.2.6: build 20191107 y posterior

Los sistemas operativos de QNAP (QTS) tienen varias lineas de desarrollo paralelas, simplemente necesitas identificar la tuya y aplicar las actualizaciones correspondientes.

¿Cómo actualizar el firmware de un NAS QNAP?

Es muy sencillo, basta con acceder al menú Sistemas > Panel de Control > Actualización de firmware. Una vez allí tenemos la opción de realizar la actualización de forma desatendida o manual.

• 

• 

• 

A finales del mes de Noviembre se publicó otro parche relacionado con una vulnerabilidad en las apps Helpdesk, Music Station y File Station. La gravedad de las mismas era alta: CVE-2018-0728 / CVE-2018-0729 / CVE-2018-0730.

En la web de soporte de producto puedes buscar tu modelo de NAS QNAP y saber como se encuentra su ciclo de vida de soporte.

Es muy importante actualizar algo tan sensible como el NAS, dado que es un objetivo prioritario para el ransomware y los troyanos. El propio sistema te avisará cuando haya alguna nueva versión de parches, no las ignores.