QNAP entfernt Hintertür aus NAS-Backup-Software
Sie enthält voreingestellte Anmeldedaten. Ein Angreifer kann aus der Ferne die Kontrolle über einen Netzwerkspeicher von QNAP übernehmen. Dem Unternehmen sind keine Attacken auf die Schwachstelle bekannt.
QNAP hat eine schwerwiegende Sicherheitslücke in der Datensicherungssoftware HBS 3 Hybrid Backup Sync geschlossen, die das Unternehmen für seine Netzwerkspeicher (NAS) anbietet. Bei der Schwachstelle mit der Kennung CVE-2021-28799 handelt es sich um voreingestellte Anmeldedaten für die Backup-App – ein beliebiger Nutzer ist also in der Lage, sich über das Internet bei einem QNAP-NAS-Geräte anzumelden.
Patches liegen nun für das NAS-Betriebssystem QTS 4.5.2 mit HBS 3 Hybrid Backup Sync 16.0.0415 und neuer, QTS 4.3.6 mit HBS 3 Hybrid Backup Sync 3.0.210412 und neuer, QuTS hero h4.5.1 mit HBS 3 Hybrid Backup Sync 16.0.0419 und neuer sowie QuTScloud c4.5.1 bis c4.5.4 mit HBS 3 Hybrid Backup Sync 16.0.0419 und neuer vor. “Um die Anfälligkeit zu beseitigen, empfehlen wir HBS 3 Hybrid Backup Sync auf die jüngste Version zu aktualisieren”, heißt in einer Sicherheitsmeldung von QNAP.
Um das Update einzuspielen, müssen sich Nutzer als Administrator bei QTS oder QuTs anmelden. Anschließend kann die Backup-App im App Center über die Suchfunktion aufgerufen und über den Update-Button mit den notwendigen Patches versorgt werden.
Gegenüber Bleeping Computer erklärte ein Sprecher des Unternehmens, dass es bisher keine Hinweise auf Angriffe auf die Schwachstelle gebe. Das Sicherheitsupdate für QTS sei zudem schon vor rund einer Woche veröffentlicht worden. Man habe die Anfälligkeit allerdings erst jetzt offengelegt, um Zeit für die Entwicklung von Patches für QuTS hero und QuTScloud zu haben.
Weitere Updates stehen derzeit für QTS und QuTS hero sowie die Multimedia-Konsole und das Media Streaming Add-on zur Verfügung. Beide Schwachstellen könnten einem Angreifer erlauben, die vollständige Kontrolle über einen Netzwerkspeicher zu übernehmen.
Nutzer von NAS-Geräten von QNAP sollten ihre Geräte stets zeitnah mit allen verfügbaren Patches ausstatten. Cyberkriminelle greifen die NAS-Geräte unter anderem immer wieder mit der Ransomware Qlocker an. Laut Bleeping Computer bestätigte der QNAP-Sprecher, dass Cybererpresser eine der jetzt gepatchten Schwachstellen tatsächlich für die Verbreitung von Qlocker verwenden. Die neue Variante der Ransomware verschiebt demnach Dateien von Nutzern in passwortgeschützte 7Zip-Archive.
