台湾供应商还针对其他严重缺陷的四重奏发出缓解
更新QNAP系统已经修补了一对关键的安全漏洞，这些漏洞可以允许未经身份化的攻击者控制其网络连接存储（NAS）设备。
这些缺陷是上周台湾硬件供应商解决的一系列严重错误，都可以导致远程代码执行（RCE）。博客文章安全研究员Yaniv Puyeski于3月31日发布，Sam无缝网络。
QNAP的NAS设备在28个国家 /地区通过子公司出售，用于文件共享，虚拟化，存储管理和监视应用程序。
网络连接的pwnage
一个命令注射漏洞（CVE-2020-2509）在QNAP NAS操作系统中，QTS和QUTS Hero可通过Web服务器利用，并在各种QTS版本和构建中进行了解决，此外，QUTS Hero beplay体育能用吗H4.5.1.1491 Build 20201119，于4月16日发布。
在同一批固件更新中修补，其他关键错误（CVE-2020-36195）影响运行多媒体控制台或媒体流媒体附加组件的任何QNAP NAS设备。
根据Puyeski的说法，有了访问DLNA服务器，攻击者可以利用漏洞创建任意文件数据，并在远程NAS上升高到RCE。
Puyeski告诉每日swbeplay2018官网ig。
研究人员的博客文章展示了一个Python脚本，该脚本使用简单的反向外壳技术接管了NAS设备。
仅需要网络访问脆弱的服务，关键的，预先实施的缺陷突出了一种不安全，全面的使用设备的方式，表示Puyeski。
他解释说：“不幸的是，许多QNAP所有者通过端口转发将其设备暴露于Internet，这使他们面临很高的风险。”
QNAP固件更新还包括一个高严重性的修复程序跨站点脚本（XSS）漏洞（CVE-2018-19942）在文件站，QTS文件管理应用程序中。
该漏洞由独立安全评估者发现，已固定在几个QTS/构建中，QUTS HERO HERO H4.5.1.1472 BUILD 20201031和QutsCloud C4.5.4.1601 Build 20210309和Qutscloud C4.5.5.3.1454 Build build 20201013。
Puyeski指出：“补救过程花了很多时间。旧版QNAP设备没有修补超过四个月，只有在我们发表博客文章QNAP部署了修复程序之后。”
Twonky
另一个QNAP咨询表示在其供应商Lynx Technologro之后，QNAP NAS软件包仍在为第三方应用程序Twonky Server的v8.5.2待定，在媒体服务器中修补了一对高严重性错误，可以将其结合起来以造成破坏效果。
由基于风险的安全性和公开在3月16日，这些缺陷包括一个不当访问限制漏洞，可以暴露管理员用户名和密码，以及一个弱密码混淆缺陷，促进密码解密。
同时，4月12日，QNAP在其QTS OS中的Linux命令中修补了基于堆的缓冲区溢出漏洞。
你可能还喜欢DJANGO调试工具栏由SQL注入缺陷绊倒
由Qualys披露该错误在一月份很快解决了QUTS Hero，允许任何无私人用户在脆弱的主机上获得升级的根特权。
高度严重性CVE（CVE-2021-3156） -归类为中等风险QNAP - 影响所有QNAP NAS设备。
在QE的补丁程序仍在等待的情况下，建议QNAP的企业存储操作系统的用户禁用SSH和Telnet，除非需要这些服务。
最后，RCE为关键而利用基于堆栈的缓冲区溢出漏洞（CVE-2020-2501）2月在QNAP的监视站视频管理系统中进行了补丁出版4月10日，SSD安全披露。
每日swbeplay2018官网ig已向QNAP发送了其他问题。如果和何时收到答复，我们将更新文章。
本文于4月20日和4月23日更新了Sam Seamless Network的Yaniv Puyeski的评论。
