Zero-Day-Schwachstelle im QNAP-NAS wird aktiv ausgenutzt

[Ceiber3]

Er wuste zu dem Zeitpunkt garnicht's davon. 😉

Wo er davon erfahren hat, war es schon zu Spät. VPN nutzt er allgemein, eigentlich eben wegen der Sicherheit.

 

[mikefize]

Er wuste zu dem Zeitpunkt garnicht's davon. 😉

Wo er davon erfahren hat, war es schon zu Spät. VPN nutzt er allgemein, eigentlich eben wegen der Sicherheit.

Läuft sein VPN Server auf dem Qnap? Das ist dann nämlich eben eher nicht so clever... wenn es da nämlich irgendeine Lücke gibt, sind sie ja schon drauf. Ich würde den VPN Server auf jeden Fall auf dem Router oder nem Raspberry o.ä. laufen lassen. Auch dann keine Garantie, aber dürfte deutlich sicherer sein...

 

[Ceiber3]

Er hatte ihn erst wo anders laufen, weil die Qnap VPN App mit OpenVPN langsam war, dann hatten die WireGuard eingebaut und er hat dem Teil nochmal ne Chance gegeben und das lief wohl auch ganz gut.
Davor hatte er auf nen anderen Linux Server über den OpenVPN Server laufen, der lief auch sehr schnell.

 

[mikefize]

Er hatte ihn erst wo anders laufen, weil die Qnap VPN App mit OpenVPN langsam war, dann hatten die WireGuard eingebaut und er hat dem Teil nochmal ne Chance gegeben und das lief wohl auch ganz gut.
Davor hatte er auf nen anderen Linux Server über den OpenVPN Server laufen, der lief auch sehr schnell.

Ah okay. Ja gut, aber dann ist das NAS ja nach außen hin offen. Zwar nur über den VPN Port, aber das reicht ja... offen ist offen.

 

[Weltherrscher]

Halte ich bei Wireguard aber unwahrscheinlich, dass sie darüber rein gekommen sind.
Immerhin würden sie dafür ja einen gültigen Client-Schlüssel benötigen.
Sicher, dass nicht per UPNP noch andere Ports offen sind / waren?

Ich bekräftige nochmals meine Aussage, dass jeder Dienst, der extern verfügbar sein soll, auf einer extra Maschine laufen sollte, das NAS sollte *niemals* direkt exponiert werden.
Dafür ist die ganze Architektur von QNAP zu unsicher...

 

[asche77]

Allenfalls über eine Lücke im IP oder UDP Stack von QNAP könnte ich mir das erklären (TCP nutzt wireguard ja nicht und wird hoffentlich vom besagten IT Fachmann auch nicht an den wg-Port weitergeleitet).

 

[you]

Autoupdate Updates, obwohl ausgeschaltet? Also lokale Einstellungen werden ignoriert? Dann kann diese von QNAP geschaffene Zugriffsmöglichkeit - am expliziten Willen des QNAP Nutzers vorbei gehende "Funktion" - kompromittiert worden sein? Womit dann auch an VPN vorbei munter aufs heimische System zugegriffen werden kann?

Deswegen gehört aus meiner Sicht ein NAS in die Liste gesperrter Geräte, wenn es um Zugang ins Internet geht. Und deswegen gehören Hersteller, die sowas machen "auf den Poden"!!

 

[asche77]

Autoupdate Updates, obwohl ausgeschaltet? Also lokale Einstellungen werden ignoriert? Dann kann, diese von QNAP geschaffene Zugriffsmöglichkeit - am expliziten Willen des QNAP Nutzers vorbei gehende "Funktion" - kompromittiert worden sein? Womit dann auch an VPN vorbei munter aufs heimische System zugegriffen werden kann?

Nein, nicht zwingend -- wenn die qnap nach Hause telefoniert und dabei das Update verpasst bekommt, gibt es da keine "Zugriffsmöglichkeit" von aussen für Dritte (ausser sie können sich als MITM in die TLS-Verbindung einklinken, und das ist nun sehr unwahrscheinlich)

 

[p4n0]

Ich bin da bei @you
Wenn ich keinen Button druecke, dass dort ein Update passiert, dann hat auch nichts zu passieren.
Sofern die Kiste vollautomatisch geupdated wird muss ich dem Hersteller saemtliches Vertrauen entziehen.
Denn er hat gegen meinen Willen (ohne meine Zustimmung) auf meinem Eigentum etwas getan, was ich nicht wollte.
Genauso gut haette er das Ding Formatieren oder sonstwas damit anstellen koennen. Denn offensichtlich kann er aus der Ferne
Code ausfuehren, ohne dass es meinem Zutun bedarf.

 

[you]

Das ist natürlich Spekulation bezogen auf den aktuellen Fall. Aber in jedem Fall eine Tür, die kompromittiert werden kann. Für mich ein noGo. Dieser Hersteller ist aber leider auch kein Einzelfall.

 

[eratte]

Wie bei CB schon jemand vermerkt hat:

Descriptions and Explanations of the QTS / QuTS hero “Recommended Version” Feature

Taipei, Taiwan, February 1, 2022 - Recently the QNAP Product Security Incident Response Team (PSIRT) detected that cybercriminals ...

www.qnap.com

Da müssen jetzt ein paar Schreihälse ruhig sein.

 

[p4n0]

Hae? Gab es nun forced updates oder nicht? Der Artikel gibt nicht sonderlich viel her.

 

[eratte]

Doch der erklärt das genau, viele hatte wohl Recommended Version nicht beim AutoUpdate ausgeschlossen.

 

[p4n0]

Das ist ein Artikel von der Marketingabteilung. Nach ca 30 min Recherche gestern (Und auch paar YT Vids) scheint es in der Realitaet doch etwas anders gelaufen sein, als dort steht.
Gerne kann doch mal n Betroffener sich zu wort melden

 

[eratte]

Nach ca 30 min Recherche gestern (Und auch paar YT Vids)

 

[p4n0]

Es soll auch Kanaele geben, in denen solche Themen beleuchtet werden.
Von technisch-versierten Menschen. Ganz ohne Unboxing und Product-Placements

//edit
hier mal reinlesen:

QNAP force-installs update after DeadBolt ransomware hits 3,600 devices

QNAP force-updated customer's Network Attached Storage (NAS) devices with firmware containing the latest security updates to protect against the DeadBolt ransomware, which has already encrypted over 3,600 devices.

www.bleepingcomputer.com

 

[asche77]

Nein, nicht zwingend -- wenn die qnap nach Hause telefoniert und dabei das Update verpasst bekommt

So wird es jedenfalls dargestellt:

How Auto Update works

QTS / QuTS hero will periodically contact the QNAP software update server to obtain the latest system software information. When an update is available, your NAS will send a notification, if the notification function is set. When logging in to the QTS/QuTS hero portal, a reminder will also be shown.

Beitrag automatisch zusammengeführt: 01.02.2022

Wenn ich keinen Button druecke, dass dort ein Update passiert, dann hat auch nichts zu passieren.

Dann nutzt Du auch kein Windows und kein Android mit Google playstore, oder?

 

[p4n0]

Dann nutzt Du auch kein Windows und kein Android mit Google playstore, oder?

Windows als Clientgeraet, kein Problem. Aber da weiß ich ja im Vorfeld worauf ich mich einlasse.
Android nicht. Playstore auch nicht.

Es ist einfach problematisch wenn das NAS einfach so mal ungeplant neustartet. Vor allem wenn man auch VMs auf dem Ding hat etc..

 

[asche77]

Es ist einfach problematisch wenn das NAS einfach so mal ungeplant neustartet. Vor allem wenn man auch VMs auf dem Ding hat etc..

Da bin ich voll bei Dir. Das haben sie nicht gut gelöst.