QNAP warnt vor kritischer Lücke: NAS-Nutzer müssen schnell handeln

Der NAS-Hersteller QNAP hat eine Sicherheitswarnung an Kun­den herausgegeben, in der es um kürzlich entdeckte Apache HTTP Ser­ver-Schwach­stel­len geht. Unbekannte könnten dem­nach NAS-Ge­­r­ä­te aus der F­erne angreifen. Updates stehen bis­her noch nicht zur Verfügung. Nun gibt es eine Anleitung von QNAP, wie man sich schützen kann. Das geht aus einer Meldung des Online-Magazins Bleeping Computer hervor. Es ist die zweite große Sicherheitswarnung, die QNAP in den letzten Wochen herausgegeben hat - und für die es von dem NAS-Hersteller noch keinen Sicherheitspatch gibt. QNAP fordert seine Kunden daher auf, Maßnahmen zur Abschwächung der Apache HTTP Server-Sicherheitslücken zu ergreifen. Die Schwachstellen (CVE-2022-22721 und CVE-2022-23943) wurden mit einem Schweregrad von 9,8/10 als kritisch eingestuft und betreffen Systeme mit Apache HTTP Server 2.4.52 und früher. Infografik: Jeder dritte Deutsche speichert in der Cloud

Noch keine Patches, aber Abhilfemaßnahmen verfügbar

Der hohe Schweregrad wurde vergeben, da nicht authentifizierte Angreifer die Schwachstellen in wenig komplexen Angriffen aus der Ferne ausnutzen können, ohne dass eine Benutzerinteraktion erforderlich ist. Ob die Sicherheitslücken aktiv ausgenutzt werden, ist allerdings nicht bekannt. QNAP arbeitet daran, zeitnah Sicherheitsupdates zu veröffentlichen. "Wir untersuchen die beiden Schwachstellen, die QNAP-Produkte betreffen, gründlich und werden so bald wie möglich Sicherheitsupdates veröffentlichen."

Bis Patches verfügbar sind, rät QNAP seinen Kunden, den Standardwert "1M" für LimitXMLRequestBody beizubehalten, um CVE-2022-22721-Angriffe abzuschwächen, und mod_sed als CVE-2022-23943-Abschwächung gegebenenfalls zu deaktivieren (das ist er standardmäßig). QNAP arbeitet außerdem an Sicherheitsupdates, um eine schwerwiegende Linux-Schwachstelle namens "Dirty Pipe" zu beheben, die es Angreifern mit lokalem Zugriff ermöglicht, Root-Rechte zu erlangen (wir berichteten).

Siehe auch:

Sicherheitslücke, Hacker, Security, Malware, Angriff, Hack, Virus, Kriminalität, Schadsoftware, Exploit, Cybercrime, Cybersecurity, Hacking, Hackerangriff, Internetkriminalität, Sicherheitslücken, Darknet, Hacken, Hacker Angriffe, Hacker Angriff, Sicherheitsupdate, Attack, Kurs, Hacks, anti-malware, Crime, Russische Hacker, Cyberwar, China Hacker, Malware Warnung, Risiko, Sicherheitsrisiko, Cyberangriff, Sicherheitsproblem, Cyberattacke, Totenkopf, tot, Dead, Malware Found, Hazard, Skull