Categories: DataStorage

QNAP entfernt Hintertür aus NAS-Backup-Software

QNAP hat eine schwerwiegende Sicherheitslücke in der Datensicherungssoftware HBS 3 Hybrid Backup Sync geschlossen, die das Unternehmen für seine Netzwerkspeicher (NAS) anbietet. Bei der Schwachstelle mit der Kennung CVE-2021-28799 handelt es sich um voreingestellte Anmeldedaten für die Backup-App – ein beliebiger Nutzer ist also in der Lage, sich über das Internet bei einem QNAP-NAS-Geräte anzumelden.

Patches liegen nun für das NAS-Betriebssystem QTS 4.5.2 mit HBS 3 Hybrid Backup Sync 16.0.0415 und neuer, QTS 4.3.6 mit HBS 3 Hybrid Backup Sync 3.0.210412 und neuer, QuTS hero h4.5.1 mit HBS 3 Hybrid Backup Sync 16.0.0419 und neuer sowie QuTScloud c4.5.1 bis c4.5.4 mit HBS 3 Hybrid Backup Sync 16.0.0419 und neuer vor. “Um die Anfälligkeit zu beseitigen, empfehlen wir HBS 3 Hybrid Backup Sync auf die jüngste Version zu aktualisieren”, heißt in einer Sicherheitsmeldung von QNAP.

Um das Update einzuspielen, müssen sich Nutzer als Administrator bei QTS oder QuTs anmelden. Anschließend kann die Backup-App im App Center über die Suchfunktion aufgerufen und über den Update-Button mit den notwendigen Patches versorgt werden.

Gegenüber Bleeping Computer erklärte ein Sprecher des Unternehmens, dass es bisher keine Hinweise auf Angriffe auf die Schwachstelle gebe. Das Sicherheitsupdate für QTS sei zudem schon vor rund einer Woche veröffentlicht worden. Man habe die Anfälligkeit allerdings erst jetzt offengelegt, um Zeit für die Entwicklung von Patches für QuTS hero und QuTScloud zu haben.

Weitere Updates stehen derzeit für QTS und QuTS hero sowie die Multimedia-Konsole und das Media Streaming Add-on zur Verfügung. Beide Schwachstellen könnten einem Angreifer erlauben, die vollständige Kontrolle über einen Netzwerkspeicher zu übernehmen.

Nutzer von NAS-Geräten von QNAP sollten ihre Geräte stets zeitnah mit allen verfügbaren Patches ausstatten. Cyberkriminelle greifen die NAS-Geräte unter anderem immer wieder mit der Ransomware Qlocker an. Laut Bleeping Computer bestätigte der QNAP-Sprecher, dass Cybererpresser eine der jetzt gepatchten Schwachstellen tatsächlich für die Verbreitung von Qlocker verwenden. Die neue Variante der Ransomware verschiebt demnach Dateien von Nutzern in passwortgeschützte 7Zip-Archive.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Wipro führt erweitertes Beratungsangebot in Europa ein

Jüngste Akquisitionen im Beratungsbereich ermöglichen eine End-to-End-Cybersecurity-Lösung für Unternehmen.

23 Stunden ago

Google warnt vor neuer kommerzieller Spyware

Heliconia nimmt Browser und Windows Defender ins Visier. Das Exploitation Framework setzt auf in den…

1 Tag ago

Weihnachtszeit, Shoppingzeit: Betrüger haben Hochkonjunktur

Betrüger setzen bei Routine und Bekanntem an – für Ungeübte kaum zu erkennen. Sophos gibt…

2 Tagen ago

Silicon DE Podcast im Fokus: Cyber Protection

Im Gespräch mit Carolina Heyder erklärt Candid Wüest, VP of Cyber Protection Research Acronis, wie…

2 Tagen ago

Externes Schlüsselmanagement für Kundendaten in der AWS Cloud

T-Systems erstellt, verwaltet und speichert die Schlüssel in den Rechenzentren der Deutschen Telekom innerhalb der…

2 Tagen ago

Lieferketten in der Cloud verwalten

Aktuelles von der AWS re:Invent 2022: AWS Supply Chain Service verringert Lieferketten-Risiken.

2 Tagen ago