QNAP NAS 存在 2 個 9.8 分嚴重漏洞 極危險

dds

所有嘢 behind vpn (syno ds116),
部 453be 無裝 qnap firewall, 無 登記 qnapcloud.

種蕉機會 大嗎?

利申: check 咗 firmware 未見 有得 update.

kofz

所有嘢 behind vpn (syno ds116),
部 453be 無裝 qnap firewall, 無 登記 qnapcloud.

種蕉機會 大嗎?

利 ...
dds 發表於 2022-4-28 20:50

官網有公佈
https://www.qnap.com/zh-hk/security-advisories?ref=security_advisory_details

搞緊，未有新fw fix

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)

mcdull

官網有公佈


搞緊，未有新fw fix

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)
kofz 發表於 2022-4-28 22:12

    斷網先啦, 仲問.

kofz

斷網先啦, 仲問.
mcdull 發表於 2022-4-28 22:19

停晒 d port forward

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)

TH30

目前 QNAP 尚未推出正式的修補更新；不過 QNAP 提供了暫時解決方案。建議 QNAP NAS 用戶進行下列操作：

▪️ 將 LimitXMLReuerstBody 參數保持預設值「1M」，以對應 CVE-2022-22721 漏洞。

▪️ 停用 mod_sed 功能，以對應 CVE-2022-23943 漏洞。

QNAP 指出，NAS 用戶保持原出廠設定值，並不受弱點影響，如果用戶無法確認是否維持在預設值，應立即檢視 Apache 設定，目前正在調查這兩個漏洞造成的影響，並將儘快推出解決這兩個漏洞的韌體更新，請用戶密切注意，有更新應立即套用。

意思係咪default setting冇搞過就冇事，唔洗搞佢？

pbodq

NAS distribution linux一大問題係module唔跟到最新
官方下下等得閒有人手compile test 出update,
遇著zero day CVE還好, 由夢然不知, 直至有客鬧到馬上出patch。否則唔知等到幾時先有update。

比錢買customer service, 結果就買來這種程度


無論Syno, qnap還是TrueNAS Scale都係

sp4148

apache 漏洞， 如果係咁好多linux server都中招
synology 都走唔甩

fakeman

apache 漏洞， 如果係咁好多linux server都中招
synology 都走唔甩
sp4148 發表於 2022-4-29 00:15

    Debian 已經 fix 咗......