QNAP vraagt gebruikers NAS-systemen offline te halen omwille van PHP-lekken
Je zou denken dat de woensdag ontdekte PHP-lekken hoofdzakelijk impact hebben op websites, maar QNAP waarschuwt dat ook zijn NAS-systemen kwetsbaar zijn. De fabrikant adviseert daarom om de internettoegang van die toestellen voorlopig uit te schakelen. De updates zijn nog in ontwikkeling.
Tijdelijks ‘oplossing’ voor QNAP-gebruikers
Volledig uitschakelen is niet noodzakelijk, maar het belangrijkste is dat de NAS niet via internet bereikbaar is. De eenvoudigste maatregel is om de netwerkkabel tijdelijk los te koppelen. Wie zijn NAS lokaal wil blijven gebruiken, kan ook een reeks andere maatregelen nemen. QNAP benadrukt wel dat die de kwetsbaarheden niet oplossen. Je opslag blijft dus kwetsbaar zolang de software niet gepatcht is en aanvallers toegang tot de getroffen onderdelen hebben.
Een van de mogelijkheden is om de toegang te beperken tot vertrouwde netwerken. Heb je vanuit huis toegang nodig tot de NAS, dan kan je die toegang beperken tot je lokale netwerk of een VPN-verbinding. Tegelijk raadt QNAP gebruikers aan om portforwarding op hun router uit te schakelen, net als Universal Plug and Play (UPnP). Ook kan je myQNAPcloud Link uitschakelen en onnodige diensten via myQNAPcloud offline halen.
Gebruik je PHP-software op je QNAP-NAS, dan kan je het gebruik daarvan best tijdelijk pauzeren als die niet noodzakelijk is. QNAP raadt daarnaast aan om de ingebouwde webserver uit te schakelen als je die niet gebruikt. Wederom: dat zijn stappen waarmee je de kans op misbruik verkleint tot de updates beschikbaar zijn. Ze lossen de kwetsbaarheden zelf niet op. Wie de NAS toch bereikbaar houdt, moet er rekening mee houden dat er risico’s blijven bestaan, ook wanneer de toegang tot bepaalde diensten beperkt is.
De kwetsbaarheden staan bekend als PHP2Shell en kunnen aanvallers zonder authenticatie code laten uitvoeren op getroffen toestellen. Beide kregen een kritieke ernstscore van 9,2 op 10. Hoewel er wereldwijd al misbruikpogingen tegen PHP-systemen zijn gemeld, zegt QNAP zelf nog geen meldingen te hebben ontvangen van aanvallen op zijn eigen producten.
Naast updates voor het besturingssysteem op QNAP-toestellen krijgen ook diverse apps van de fabrikant een update. Het gaat onder andere om QuMagie, Note Station 3 en toepassingen voor netwerk- en camerabeveiliging, waaronder QNE (ADRA), QVR Surveillance en TVR OS.
Updates installeren zodra ze beschikbaar zijn
Zodra de updates beschikbaar zijn, zijn er verschillende manieren om ze te installeren. Voor QTS, QuTS hero en QuTScloud komt de update beschikbaar via het Control Panel onder System > Firmware Update. Voor Note Station 3 en QuMagie volgt de update via het App Center. Gebruikers van QNE (ADRA), QVR Surveillance en TVR OS moeten de benodigde firmware of software downloaden via het QNAP Download Center.
Voorlopig is er nog geen datum bekend waarop de updates verschijnen. QNAP werkt aan oplossingen en zegt de beveiligingsmelding bij te werken zodra er nieuwe versies beschikbaar zijn. Gebruikers kunnen de status volgen via het officiële beveiligingsadvies van QNAP.
Let wel, PHP in containers van Container Station en in toepassingen van externe ontwikkelaars valt niet onder de updates van QNAP zelf. Daarvoor moet je bij de leverancier van de betreffende container of toepassing nagaan of er een bijgewerkte versie beschikbaar is.
