Alert GCSA-25037 - Vulnerabilita' nei NAS QNAP

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

alert ID: GCSA-25037
data: 14 marzo 2025
titolo: Vulnerabilita' nei NAS QNAP

******************************************************************

:: Descrizione del problema

QNAP ha rilasciato nuove versioni dei propri prodotti
con cui risolve varie vulnerabilita'.

I device di questo tipo non dovrebbero essere esposti direttamente ad Internet,
ma essere raggiungibili solo via VPN, per impedire lo sfruttamento da remoto
di possibili vulnerabilita' o misconfiguration.

Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software / Dispositivi interessati

File Station 5.5.x versioni anteriori alla 5.5.6.4741
HBS 3 Hybrid Backup Sync 25.1.x versioni anteriori alla 25.1.4.952
Helpdesk 3.3.x versioni anteriori alla 3.3.3
Qfinder Pro Mac 7.11.x versioni anteriori alla 7.11.1
Qsync Client 5.1.x versioni anteriori alla 5.1.3 per Mac
QTS 4.5.x versioni anteriori alla 4.5.4.2957 build 20241119
QTS 5.1.x versioni anteriori alla 5.1.9.2954 build 20241120
QTS 5.2.x versioni anteriori alla 5.2.3.3006 build 20250108
QuLog Center 1.7.x versioni anteriori alla 1.7.0.829
QuLog Center 1.8.x versioni anteriori alla 1.8.0.888
QuRouter 2.4.x versioni anteriori alla 2.4.6.028
QuTS hero h4.5.x versioni anteriori alla h4.5.4.2956 build 20241119
QuTS hero h5.1.x versioni anteriori alla h5.1.9.2954 build 20241120
QuTS hero h5.2.x versioni anteriori alla h5.2.3.3006 build 20250108
QVPN Device Client 2.2.x versioni anteriori alla 2.2.5 per Mac


:: Impatto

Esecuzione remota di codice arbitrario (RCE)
Denial of Service (DoS)
Accesso a dati riservati (ID)
Falsificazione dei dati (Spoofing)
Attacco all'integrita' dei dati (Data Manipulation)
Bypass delle funzionalita' di sicurezza (SFB)


:: Soluzioni

Aggiornare i prodotti alle ultime versioni

https://www.qnap.com/en/security-advisory/qsa-24-51
https://www.qnap.com/en/security-advisory/qsa-24-53
https://www.qnap.com/en/security-advisory/qsa-24-52
https://www.qnap.com/en/security-advisory/qsa-24-54
https://www.qnap.com/en/security-advisory/qsa-24-55
https://www.qnap.com/en/security-advisory/qsa-25-01
https://www.qnap.com/en/security-advisory/qsa-25-03
https://www.qnap.com/en/security-advisory/qsa-25-05
https://www.qnap.com/en/security-advisory/qsa-25-06
https://www.qnap.com/en/security-advisory/qsa-25-07


:: Riferimenti

QNAP Security Advisories
https://www.qnap.com/it-it/security-advisories

Riferimenti CVE
I riferimenti CVE sono disponibili nell'advisory originale.


GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iGsEAREIACsWIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZ9Q+WA0cY2VydEBnYXJy
Lml0AAoJEMGcTJNlEmBCG6kAnj+717KzhtRdgQ2rwYQAKtIhTsGUAJ0T8/WBS2/I
MnZyjUFm24TiGexeew==
=cbCs
-----END PGP SIGNATURE-----