Kritische Schwachstellen bei QNAP NAS

Die letzte Version für mein QNAP NAS (TS-453D) ist vom 26.9.2023. Sind die Meldungen schon älter?

Alles ein Alter Hut und es wird nicht wirklich dran gearbeitet.

unRaid auf dem QNap NAS ist eine schöne alternative um die Probleme zu umgehen

Zitat von Cineologe

unRaid auf dem QNap NAS ist eine schöne alternative um die Probleme zu umgehen

Hast du damit Erfahrung?

Finde das ein interessantes Thema.

Wenn ja: welches Modell und wie bist du für die Installation vorgegangen? Gab es Probleme/Einschränkungen?

Und bevor man denkt "Uh....das hat ja ne Severity von 9.0 oder 9.8" und "mein QNAP ist ja so unsicher"....

Die beiden CVE mit der Severity 9.0 (https://www.cvedetails.com/cve/CVE-2023-23369/) und 9.8 (https://www.cvedetails.com/cve/CVE-2023-23368/) sind sogenannte "OS command injections" oder auch "shell injections", die dann eine RCE (remote code execution) eröffnen. Um zu verstehen, was das macht:

What is OS command injection, and how to prevent it? | Web Security Academy

In this section, we explain what OS command injection is, and describe how vulnerabilities can be detected and exploited. We also show you some useful ...

portswigger.net

Ich will damit nicht sagen, dass man das nicht updaten sollte. Ganz im Gegenteil. Vulns müssen gefixt werden, wenn ein Fix dafür vorliegt.

Ich will damit nur sagen, dass:

• solange ihr euer NAS nicht "von außen" erreichen könnt, ihr erstmal halbwegs safe seid
• solange sich nicht wildfremde Menschen, denen ihr nicht vertraut, in eurem Netzwerk bewegen, ihr halbwegs safe seid
• solange niemand außer euch irgendeine Art von GUI (abgesehen von der Anmeldemaske) auf dem NAS erreichen kann, ihr halbwegs safe seid

Beide CVEs haben eine "Probability of exploitation activity in the next 30 days" (also wie wahrscheinlich es ist, dass diese Exploit in den nächsten 30 Tagen ausgenutzt wird) von 0,04%.

Zitat von Cineologe

unRaid auf dem QNap NAS ist eine schöne alternative um die Probleme zu umgehen

Ich würde es genau anders halten. UnRaid bietet dir die Möglichkeit etliche Docker zu installieren. Auch eigene. Und das System ist nur so sicher, wie die Dienste, die du darauf betreibst. Informierst du dich nicht über die Dienste, und hälst diese nicht aktuell, dann bist du mit UnRaid genauso unsicher wie mit allem anderen auch

UnRaid ist also nicht das "Heilmittel". Wenn ich in UnRaid ein Mediawiki als Docker installiere, wo nachher das Mediawiki ein CVE hat, dann kann ich potentiell schon mal dort ausbrechen. Dann bin ich vielleicht im Docker selbst. Die meisten Docker laufen intern als "root" und haben Volumes vom Host-System gemountet, damit die Daten nicht verloren gehen. Bin ich also in dem Docker, und der User hat die Volumes schlecht gemountet, dann besteht auch dort eine entsprechende Sicherheitslücke um auf Daten des Systems zugreifen zu können.

QNAP bietet seine Addons wenigstens aus seinem Store an. Und ja...diese Versionen sind auch teilweise veraltet oder fallen irgendwann aus dem Support weil QNAP natürlich gern irgendwann ein neues NAS verkaufen möchte. Daher ist UnRaid da schon etwas flexibler, da man nicht zwingend auf das Plugin-System von UnRaid angewiesen ist bzw. UnRaid kein Geld mit der Hardware verdient. Die verkaufen nur ihre Lizenzen und das einmalig für alle Versionen.

Da aber bei manchen das Verständnis, wie anfällig Docker sein können, fehlt weil sie es nicht täglich einsetzten, wäre ich mit der Aussage "Nimm UnRaid und du hast keine Sorgen mehr" ein wenig Vorsichtig . Da kommt es ein wenig darauf an, ob die Leute wissen, was sie tun

DaVu

Nur hast du die Möglichkeit alles aktuell zu halten und musst nicht Jahre auf fixen von Problemen warten.

Bitte nicht ein kann und ist mit einander vermischen!

Man kann sich alles schön oder auch schlecht Reden.

hier geht es nicht um Fanboy Aussagen sondern um Tatsachen die von mir nicht angesprochen worden aber Dir anscheinend bekannt sind.

Sei es drum, werdet glücklich....... mir ist es gleich.

Wenn man die Kisten aus dem Netz nimmt und sie als Backup Station oder FileServer nimmt, dann sind sie super. Aber veraltete Pakete im Appstore und beschriebene Möglichkeiten sprechen nicht für sich.