Le fournisseur de matériel taïwanais QNAP avertit ses clients de sécuriser leurs périphériques de stockage en réseau (NAS) alimentés par Linux contre une vulnérabilité d’escalade de privilèges Sudo très grave.
La faille (identifiée CVE-2023-22809) a été découverte par les chercheurs en sécurité de Synacktiv, qui la décrivent comme un « contournement de la politique sudoers dans la version 1.9.12p1 de Sudo lors de l’utilisation de sudoedit ».
Une exploitation réussie sur des appareils non corrigés utilisant les versions 1.8.0 à 1.9.12p1 de Sudo pourrait permettre aux attaquants d’élever les privilèges en modifiant des fichiers non autorisés après avoir ajouté des entrées arbitraires à la liste des fichiers à traiter.
La vulnérabilité affecte également les systèmes d’exploitation NAS QTS, QuTS hero, QuTScloud et QVP (appliances QVR Pro), comme QNAP l’a révélé dans un avis de sécurité publié mercredi.
Bien que la société ait corrigé la faille des plates-formes QTS et QuTS hero, elle travaille toujours à fournir des mises à jour de sécurité QuTScloud et QVP.
« Veuillez vérifier régulièrement cet avis de sécurité pour les mises à jour et mettre à jour rapidement votre système d’exploitation vers la dernière version recommandée dès qu’elle est disponible », a averti QNAP.
« Pour sécuriser votre appareil, nous vous recommandons de mettre régulièrement à jour votre système vers la dernière version pour bénéficier des correctifs de vulnérabilité. »
Comment sécuriser votre périphérique NAS QNAP
Pour mettre à jour leur QTS, QuTS hero ou QuTScloud, les clients doivent cliquer sur l’option « Vérifier les mises à jour » sous la section « Mise à jour en direct » après s’être connectés en tant qu’utilisateur administrateur et être allés dans Panneau de configuration > Système > Mise à jour du micrologiciel.
Alternativement, ils peuvent appliquer manuellement la mise à jour du firmware après l’avoir téléchargée depuis le Centre de téléchargement de QNAP après avoir sélectionné le type et le modèle de produit de leur appareil.
L’avis de QNAP n’a pas marqué la vulnérabilité CVE-2023-22809 comme étant activement exploitée dans la nature.
Cependant, en raison de la gravité de la faille, il est conseillé aux clients d’appliquer les mises à jour de sécurité disponibles dès que possible, car les acteurs de la menace sont connus pour cibler activement les failles de sécurité du NAS QNAP.
Les attaques récentes ciblant les appareils NAS QNAP incluent les campagnes de rançongiciel DeadBolt et eCh0raix qui exploitent les vulnérabilités pour chiffrer les données sur les appareils exposés à Internet.
Aujourd’hui, QNAP a également annoncé qu’il corrige plusieurs autres bogues de sécurité affectant ses produits, y compris certains trouvés dans OpenSSL, Samba [1, 2] et ses propres systèmes d’exploitation (exploitables pour l’exécution de commandes à distance et la divulgation d’informations).