상세 컨텐츠

본문 제목

QNAP, 기기를 장악하도록 허용하는 새로운 QTS 취약점 경고

국내외 보안동향

by 알약4 2020. 10. 29. 09:22

본문

QNAP warns of new QTS bugs that allow take over of devices

 

QNAPNAS 기기에서 사용하는 운영 체제QTS에 영향을 미치는 취약점 두 개에 대해 공지했습니다. 이 취약점은 공격자가 임의 명령을 실행하도록 허용할 수 있는 것으로 나타났습니다.

 

해당 취약점은 원격으로 악용이 가능하며 202098일 이전에 출시된 소프트웨어 버전에 존재합니다.

 

최신 버전은 안전합니다.

 

QNAP은 해당 취약점에 대한 자세한 내용은 공개하지 않았지만 최근 QTS 릴리즈에 필요한 패치가 포함되어 있다고 밝혔습니다.

 

QNAP의 보안 권고에 따르면 QTS OS의 최신 버전인 QTS 4.4.3.1421 build 20200907로 업데이트한 사용자들은 아무런 걱정할 필요가 없습니다.

 

CVE-2020-2490, CVE-2020-2492로 등록된 이 두 취약점은 명령 주입 취약점으로 분류되었습니다.

 

공격자가 어떻게 이 취약점을 악용할 수 있는지, 운영 체제의 어떤 컴포넌트가 취약한지 등은 밝혀지지 않았지만, 일반적으로 시스템에서 임의 명령을 실행할 수 있으면 기기를 완전히 장악할 수 있게 되는 경우가 많습니다.

 

QTS OS의 기능은 파일 공유, 스토리지 관리, 백업 작업을 위한 편리한 환경을 제공합니다. 또한 QNAP 앱 센터에서 NAS 기기의 기능을 확장하여 비즈니스 및 홈 엔터테인먼트 목적으로 응용 프로그램을 설치할 수 있습니다.

 

공격자의 매력적인 타깃인 QNAP 기기

 

중소기업들은 보통 NAS 기기를 백업 및 파일 공유에 사용합니다. 노출된 시스템에서 구버전 운영 체제를 사용할 경우 공격자가 다양한 유형의 악성코드를 통해 기기를 해킹할 수 있는 기회가 생깁니다.

 

지난 9, QNAP은 고객들에게 NAS 제품을 노리는 랜섬웨어 공격에 대해 경고했습니다. 공격자는 사용자가 원격으로 NAS 기기에 이미지 업로드, 앨범 생성, 열람 등의 작업을 수행할 수 있도록 하는 Photo Station 앱에 존재하는 취약점을 악용했습니다.

 

최근에는 QNAP 기기를 제어권을 탈취하는데 악용될 수 있는 Helpdesk 앱의 취약점이 수정되었습니다.

 

또한 지난 1021, NAS 서비스 운영자는 QTS OS의 일부 버전이 치명적인 윈도우 ZeroLogon (CVE-2020-1472) 취약점의 영향을 받는다고 고객들에게 경고했습니다.

 

사용자들은 QNAP 웹사이트에서 최신 QTS 업데이트를 다운로드 하거나, 업데이트를 확인 후 운영 체제에서 새 버전을 다운로드 및 적용하도록 설정할 수 있습니다.

 

1. QTS에 관리자로 로그인

2. 제어판 > 시스템 > 펌웨어 업데이트로 이동

3. Live Update에서 업데이트 확인클릭

 

 

 

 

출처:

https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-qts-bugs-that-allow-take-over-of-devices/

https://www.qnap.com/en/security-advisory/QSA-20-09

https://www.qnap.com/en/release-notes/qts/4.4.3.1421/20200907


관련글 더보기

댓글 영역