这个漏洞能让全球 75 万台 NAS 被黑客入侵

2017 年 10 月,长沙银河泛联安全实验室的三位安全研究员在GeekPwn 上海站展示了一款 威联通 NAS 网络存储设备上存在的高危 0 day 漏洞。攻击者能够利用命令执行漏洞,获得设备 root 权限,盗取用户的隐私数据。全球 75 万台该品牌 NAS 设备受此漏洞影响。

GeekPwn 赛后向该品牌进行漏洞提交后,现厂商已发布修复补丁,并进行官方致谢(www.qnap.com/zh-tw/security-advisory/nas-201711-21)。

漏洞详情

NAS(Network Attached Storage)是网络附加存储设备,用于家庭或中小型企业存储资料。

这个命令注入漏洞(CVE-2017-13071)存在于威联通 NAS 设备 Video Station 中。攻击者可以在 NAS 上远程执行任意命令,漏洞存在于 QTS 4.3.3 和 4.3.4 两个版本。

修复建议

升级 Video Station 到最新版本,操作如下:

1、 登录 QTS 管理员;

2、 打开 APP Center,点击“搜索”图标;

3、 输入“Video Station”,并点击“ENTER”;

4、 进行升级;

5、 最后点击“确定”。

比赛视频

GeekPwn 现场,选手通过网络远程攻击 NAS,仅用 36 秒就拿到评委老鹰放在 NAS 中的岛国动作大片——奥特曼。

用户如何自我保护?

早在 2014 年,ISE 安全研究公司研究发现NAS 产品存在安全漏洞的数量甚至高于家用路由器

攻击者不仅可以入侵 NAS 盗取数据,还能利用劫持等手段获取同一子网下其他设备的流量。曾有攻击者通过劫持他人 NAS 进行“挖矿”,获利超过 62 万美元。

作为 NAS 用户,日常生活中你需要遵循如下基础安全防护措施:

1、必须更换默认密码;

2、不要点击可疑的电子邮件链接或者其他地址;

3、为路由器或 NAS 设置随机同时包含字母和数字的密码;

4、定期更新固件,或者设置为自动更新。

GeekPwn 公众号菜单可以看比赛视频啦!

回复“极客沙龙”,获取嘉宾分享 PPT

极客沙龙 |嵌入式安全利器——JTAG 调试实战

极客沙龙 |MacOS/iOS 我的学习和成长之路

极客沙龙 |如何用二维码钓出你的支付信息

极客沙龙 |DEFCON25 杂谈——一场 CTF 奇幻之旅

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20171220A0NRQM00?refer=cp_1026
  • 腾讯「腾讯云开发者社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

扫码关注腾讯云开发者

领取腾讯云代金券