【漏洞通告】QNAP NAS Photo Station漏洞（CVE-2022-27593）
發布時間 2022-09-060x00 漏洞概述
CVE ID | CVE-2022-27593 | 發現時間 | 2022-09-06 |
類 型 | 資源外部控制引用 | 等 級 | 嚴重 |
遠程利用 | 是 | 影響范圍 | |
攻擊復雜度 | 低 | 用戶交互 | 無 |
PoC/EXP | 在野利用 | 是 |
0x01 漏洞詳情
QNAP Systems, Inc.（威聯通）主要生產用于文件共享、虛擬化、存儲管理和監控應用的網絡附加存儲設備。
9月3日，QNAP發布安全公告，某些暴露在互聯網上并運行Photo Station的QNAP NAS設備遭到DeadBolt 勒索軟件攻擊。
由于某些QNAP NAS設備存在對資源的外部控制引用漏洞，可能導致修改系統文件，該漏洞追蹤為CVE-2022-27593，其CVSS評分為10.0。
DeadBolt勒索軟件攻擊利用該漏洞來加密直接連接到互聯網的QNAP NAS設備，目前QNAP已經發布了Photo Station 應用程序的安全更新，并敦促所有QNAP NAS 用戶將 Photo Station 更新到最新可用版本。
影響范圍
部分運行Photo Station 并暴露在互聯網上的QNAP NAS設備
注：建議使用QuMagie替代Photo Station來有效管理 QNAP NAS 中的照片存儲。
0x02 安全建議
目前此漏洞已經修復，受影響用戶可升級到以下版本：
QTS 5.0.1：Photo Station 6.1.2 及更高版本
QTS 5.0.0/4.5.x：Photo Station 6.0.22 及更高版本
QTS 4.3.6：Photo Station 5.7.18 及更高版本
QTS 4.3.3：Photo Station 5.4.15 及更高版本
QTS 4.2.6：Photo Station 5.2.14 及更高版本
其它建議
1.關閉路由器的端口轉發功能。
2.在 NAS 上設置 myQNAPcloud 以啟用安全遠程訪問并防止暴露在互聯網上。
3.將 NAS 固件更新到最新版本。
4.將 NAS 上的所有應用程序更新到最新版本。
5.為 NAS 上的所有用戶帳戶設置強密碼。
6.定期進行快照和備份以保護數據。
鏈接：
https://www.qnap.com/en/security-advisory/qsa-22-24
0x03 參考鏈接
https://www.qnap.com/en/security-news/2022/take-immediate-action-to-update-photo-station-to-the-latest-available-version
https://www.bleepingcomputer.com/news/security/qnap-patches-zero-day-used-in-new-deadbolt-ransomware-attacks/
https://nvd.nist.gov/vuln/detail/CVE-2022-27593
0x04 版本信息
版本 | 日期 | 修改內容 |
V1.0 | 2022-09-06 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工近4000人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號