Vulnerabilità con gravità 9,8/10 per i NAS QNAP: c'è già la patch, ma il 98% non l'ha installata

[Redazione di Hardware Upg]

Link alla notizia: https://edge9.hwupgrade.it/news/secu...ta_113837.html

I NAS di QNAP sono vittima di una nuova vulnerabilità, che rende possibile attaccarli da remoto e prenderne il controllo. C'è già una patch per correggere il problema, ma quasi nessuno dei NAS visibili in Rete l'ha installata

Click sul link per visualizzare la notizia.

[Sig. Stroboscopico]

Wow... considerando che la patch mi sembra sia di dicembre e che si possa farla installare pure automaticamente siamo messi proprio bene...

[fbadini]

Incredibile come QNAP bacato sia usato nel nostro paese…

[Roman91]

è quasi triste far parte dei 39 con il dispositivo aggiornato; considerando che l'aggiornamento si autoinstalla

[aqua84]

Originariamente inviato da fbadini

Incredibile come QNAP bacato sia usato nel nostro paese…

Eh si xche le altre marche invece... esenti totalmente da bugs

[insane74]

Originariamente inviato da fbadini

Incredibile come QNAP bacato sia usato nel nostro paese…

è triste che ci siano così tanti NAS (indipendentemente dalla marca) esposti su internet e non aggiornati!
è proprio volersi fare del male!

io ho un QNAP con gli aggiornamenti automatici attivati, ma è tutto blindato, nulla è esposto ad internet.
se proprio ho necessità di collegarmi da fuori passo per una VPN.

[sk0rpi0n]

QNAP sempre peggio, negli ultimi anni è un colabrodo; sempre più convinto di essere felicemente passato a Synology alcuni anni orsono, a livello software è imbattibile.

[V4n{}u|sH]

Originariamente inviato da sk0rpi0n

QNAP sempre peggio, negli ultimi anni è un colabrodo; sempre più convinto di essere felicemente passato a Synology alcuni anni orsono, a livello software è imbattibile.

Quoto in tutto e per tutto.

[hiroshi976]

Le "crociate" hacker contro un marchio mi puzzano sempre, io ho una visione diversa della faccenda.
Sinceramente di contro penso sia assurdo invece che un dispositivo esposto in rete, non venga aggiornato dal suo amministratore. A prescindere dal motivo, il dato numerico riportato nella notizia è davvero imbarazzante. Soprattutto per gli amministratori di quei NAS.

[\_Davide_/]

Originariamente inviato da sk0rpi0n

QNAP sempre peggio, negli ultimi anni è un colabrodo; sempre più convinto di essere felicemente passato a Synology alcuni anni orsono, a livello software è imbattibile.

É come fare la crociata Microsoft vs Apple. I dispositivi Synology sono molti meno, specie a livello enterprise dove se ne vedono molto di rado. Hanno anche meno funzioni, che però sono sviluppate meglio.

Originariamente inviato da hiroshi976

Le "crociate" hacker contro un marchio mi puzzano sempre, io ho una visione diversa della faccenda.
Sinceramente di contro penso sia assurdo invece che un dispositivo esposto in rete, non venga aggiornato dal suo amministratore. A prescindere dal motivo, il dato numerico riportato nella notizia è davvero imbarazzante. Soprattutto per gli amministratori di quei NAS.

Il problema è che i Qnap Enterprise potrebbero non ripartire in seguito ad un riavvio

IMHO è imbarazzante che vengano esposti sul www.

[leoben]

Originariamente inviato da Roman91

è quasi triste far parte dei 39 con il dispositivo aggiornato; considerando che l'aggiornamento si autoinstalla

Anche il mio è aggiornato alla versione QTS 5.0.1.2248, e lo è dal 15/12/22.
Non capisco perchè ci sia chi decide di non aggiornare.
Ammetto che anch'io aspetto 1-2 settimane dopo l'avviso della nuova release. Questo per evitare, come già successo in passato, che certi aggiornamenti possano creare problemi imprevisti. Ma poi, proprio per le patch relative alla sicurezza, aggiorno senza pensarci tanto...

[Notturnia]

per curiosità ho controllato anche io e e quelli recenti sono alla 5.0.1.2277 mentre quello vecchiotto è solo alla 4.3.4.2242 del 24/11/22 e dice che non ci sono aggiornamenti successivi..

boh.. io li ho in aggiornamento automatico per cui spero che lo facciano sempre

[dirac_sea]

A parte la piccineria dei commenti dei possessori di altra marca, come giustamente scriveva insane74 il comportamento sbagliato è esporre all'esterno il proprio dispositivo senza avere la minima idea di cosa questo significhi in termini di sicurezza. Direi comunque che in caso di vulnerabilità così critiche l'azienda dovrebbe intervenire con più decisione, ad esempio applicando automaticamente da remoto la patch.

[V4n{}u|sH]

Originariamente inviato da dirac_sea

A parte la piccineria dei commenti dei possessori di altra marca, come giustamente scriveva insane74 il comportamento sbagliato è esporre all'esterno il proprio dispositivo senza avere la minima idea di cosa questo significhi in termini di sicurezza. Direi comunque che in caso di vulnerabilità così critiche l'azienda dovrebbe intervenire con più decisione, ad esempio applicando automaticamente da remoto la patch.

Ho avuto anche QNAP per anni e talvolta ne uso anche per lavoro.
Credimi, la differenza in termini di stabilità e affidabilità rispetto ai Synology è abissale. Non tutti parlano per partito preso.
Su server aziendali non puoi scegliere di far applicare un bel nulla da remoto (il riavvio delle macchine blocca potenzialmente sistemi di produzione).

[dirac_sea]

Originariamente inviato da V4n{}u|sH

Ho avuto anche QNAP per anni e talvolta ne uso anche per lavoro.
Credimi, la differenza in termini di stabilità e affidabilità rispetto ai Synology è abissale. Non tutti parlano per partito preso.
Su server aziendali non puoi scegliere di far applicare un bel nulla da remoto (il riavvio delle macchine blocca potenzialmente sistemi di produzione).

Apprezzo questo tuo commento e mi scuso se sono apparso troppo severo nel precedente post. Giusta l'osservazione degli ambienti aziendali, anche se, dovendo ipoteticamente scegliere tra la rogna di un riavvio arbitrario e la devastazione altamente probabile di un sistema così vulnerabile io preferirei la prima strada.

[baruk]

Ne ho 5 in ufficio, 3 gestiti personalmente e due gestiti da altre due persone che però avviso appena esce un nuovo aggiornamento firmware. Password efficaci, servizi non necessari disabilitati, zero problemi, nonostante veda tentativi continui di accesso non consentito. Per me son prodotti validissimi.

[Gellison]

molto grave davvero

[PIRATA!]

Secondo me dipende da quello che uno ci fa.
Per backup dati ed accesso remoto, con il più possibile disabilitato, potrebbe anche andare bene QNAP.
Il problema secondo me viene quando uno deve avere tanta roba abilitata...

[V4n{}u|sH]

Originariamente inviato da dirac_sea

Apprezzo questo tuo commento e mi scuso se sono apparso troppo severo nel precedente post. Giusta l'osservazione degli ambienti aziendali, anche se, dovendo ipoteticamente scegliere tra la rogna di un riavvio arbitrario e la devastazione altamente probabile di un sistema così vulnerabile io preferirei la prima strada.

L'ideale sarebbe avere sempre un fornitore o comunque qualcuno che possa erogare un servizio gestito che si occupi di patching periodico dei sistemi, ma ammetto che non tutte le aziende se ne preoccupano allo stesso modo...