Hybrid Backup Sync, l'app dei NAS QNAP per il backup multi-cloud, la deduplicazione dei dati, il ripristino istantaneo e la sincronizzazione flessibile, era afflitto da una vulnerabilità critica monitorata con la sigla CVE-2021-28809. Se sfruttata, consentirebbe agli attaccanti di compromettere la sicurezza dei NAS.

Scoperta da Ta-Lun Yen di TXOne IoT/ICS Security Research Labs, la falla può consegnare ai cyber criminali l'accesso alle risorse di sistema, l'escalation dei privilegi, l'esecuzione di comandi da remoto e l'accesso ad informazioni riservate senza bisogno di alcuna autorizzazione.

La buona notizia è che il problema è stato risolto con la patch pubblicata da QNAP. Considerato il rischio per la sicurezza, è caldeggiata l'installazione degli aggiornamenti per tutti coloro che hanno installato QTS nelle versioni 4.3.6, 4.3.4 e 4.3.3, rispettivamente con HBS 3 v3.0.210507 e successive, v3.0.210506 e successive e v3.0.210506 e successive. La vulnerabilità non riguarda i NAS QNAP con Sistema operativo QTS 4.5.x e HBS 3 v16.x.
Per aggiornare HBS sul NAS è necessario accedere a QTS o QuTS hero come amministratore, cercare HBS 3 Hybrid Backup Sync nell'App Center, quindi fare clic su Aggiorna e OK per aggiornare l'app (l'opzione Aggiorna non sarà disponibile se HBS è già aggiornato).

I precedenti di HBS e l'importanza della patch

Non è la prima volta che HBS mette a rischio la sicurezza dei NAS QNAP. Ad aprile l'azienda ha risolto un'altra vulnerabilità critica di sicurezza nell'app HBS 3 Hybrid Backup Sync. Fornì un account backdoor che permise agli operatori del ransomware Qlocker di crittografare i NAS esposti.

La massiccia campagna distribuì payload ransomware su migliaia di dispositivi. Gli utenti si ritrovarono con i dati compressi in archivi 7zip protetti da password e una richiesta di riscatto di circa 500 dollari per dispositivo. Si stima che in tutto i criminali informatici intascarono una cifra nell'intorno dei 260mila dollari in cinque giorni.

Lo stesso mese QNAP esortò i clienti a proteggere i NAS dagli attacchi mirati condotti con il ransomware Agelocker, mentre due settimane dopo la minaccia fu il ransomware eCh0raix (lo stesso usato per attaccare i Nas QNAP a giugno 2019 e giugno 2020).

Questi episodi dovrebbero costituire un argomento sufficiente per installare le patch con priorità non appena disponibili.