CVE-2022-27596 : cette faille critique affecte plus de 29 000 NAS QNAP
En début de semaine, le fabricant QNAP a corrigé une faille de sécurité critique qui affecte ses NAS ! Les utilisateurs sont invités à installer la mise à jour en urgence. Faisons le point !
Associée à la référence CVE-2022-27596, cette faille de sécurité critique hérite d'un score CVSS de 9,8 sur 10 ! De type injection SQL, les pirates peuvent exploiter cette vulnérabilité à distance sur les NAS QNAP exposés sur Internet et non à jour ! D'après les détails techniques mis en ligne, cette faille de sécurité serait assez facile à exploiter et elle ne nécessite ni d'action de la part d'un utilisateur, ni d'être authentifié sur le NAS.
Quels sont les NAS QNAP vulnérables à la CVE-2022-27596 ?
Au sein du bulletin de sécurité de QNAP, on peut lire : "Une vulnérabilité a été signalée sur les appareils QNAP exécutant QTS 5.0.1 et QuTS hero h5.0.1. Si elle est exploitée, cette vulnérabilité permet à des attaquants distants d'injecter du code malveillant." - Ce n'est donc pas une question de modèles, mais de version de système.
Pour se protéger, les utilisateurs doivent installer une version patchée, à savoir à minima :
- QTS 5.0.1.2234 build 20221201
- QuTS hero h5.0.1.2248 build 20221215
Des dizaines de milliers de NAS QNAP vulnérables
Suite à la découverte de cette vulnérabilité, les chercheurs en sécurité de Censys ont mis en ligne un rapport révélant qu'il y avait plusieurs dizaines de milliers de NAS QNAP vulnérables à la CVE-2022-27596.
Censys a analysé 67 415 NAS QNAP, et sur ce total, il a été possible d'obtenir le numéro de version du système sur 30 520 appareils. Sur ce total de 30 520 appareils, il y en a seulement 557 qui sont protégés contre cette faille de sécurité. Autrement dit, il y a plus de 29 000 NAS QNAP exposés sur Internet et vulnérables à la CVE-2022-27596 !
Les NAS, et en particulier ceux de QNAP, sont régulièrement pris pour cible dans le cadre de campagnes d'attaques par ransomware. Il est clair que cette vulnérabilité représente une nouvelle opportunité pour les cybercriminels, donc si vous avez un NAS QNAP exposé sur Internet, n'attendez pas avant d'effectuer la mise à jour. Même si pour le moment, QNAP estime que cette vulnérabilité n'est pas activement exploitée.
Si vous ne pouvez pas appliquer la mise à jour, faites en sorte que votre NAS ne soit pas accessible depuis Internet (pas d'UPNP, ni de règle de redirection de ports).
