这个漏洞能让全球 75 万台 NAS 被黑客入侵

2017 年 10 月，长沙银河泛联安全实验室的三位安全研究员在GeekPwn 上海站展示了一款 威联通 NAS 网络存储设备上存在的高危 0 day 漏洞。攻击者能够利用命令执行漏洞，获得设备 root 权限，盗取用户的隐私数据。全球 75 万台该品牌 NAS 设备受此漏洞影响。

GeekPwn 赛后向该品牌进行漏洞提交后，现厂商已发布修复补丁，并进行官方致谢（www.qnap.com/zh-tw/security-advisory/nas-201711-21）。

漏洞详情

NAS（Network Attached Storage）是网络附加存储设备，用于家庭或中小型企业存储资料。

这个命令注入漏洞（CVE-2017-13071）存在于威联通 NAS 设备 Video Station 中。攻击者可以在 NAS 上远程执行任意命令，漏洞存在于 QTS 4.3.3 和 4.3.4 两个版本。

修复建议

升级 Video Station 到最新版本，操作如下：

1、 登录 QTS 管理员；

2、 打开 APP Center，点击“搜索”图标；

3、 输入“Video Station”，并点击“ENTER”；

4、 进行升级；

5、 最后点击“确定”。

比赛视频

GeekPwn 现场，选手通过网络远程攻击 NAS，仅用 36 秒就拿到评委老鹰放在 NAS 中的岛国动作大片——奥特曼。

用户如何自我保护？

早在 2014 年，ISE 安全研究公司研究发现NAS 产品存在安全漏洞的数量甚至高于家用路由器。

攻击者不仅可以入侵 NAS 盗取数据，还能利用劫持等手段获取同一子网下其他设备的流量。曾有攻击者通过劫持他人 NAS 进行“挖矿”，获利超过 62 万美元。

作为 NAS 用户，日常生活中你需要遵循如下基础安全防护措施：

1、必须更换默认密码；

2、不要点击可疑的电子邮件链接或者其他地址；

3、为路由器或 NAS 设置随机同时包含字母和数字的密码；

4、定期更新固件，或者设置为自动更新。

GeekPwn 公众号菜单可以看比赛视频啦！

回复“极客沙龙”，获取嘉宾分享 PPT

极客沙龙 |嵌入式安全利器——JTAG 调试实战

极客沙龙 |MacOS/iOS 我的学习和成长之路

极客沙龙 |如何用二维码钓出你的支付信息

极客沙龙 |DEFCON25 杂谈——一场 CTF 奇幻之旅