QNAP修复Pwn2Own大赛利用的多个漏洞

发布于2024年12月10日2025年7月19日作者:cve-20

QNAP修复Pwn2Own大赛利用的多个漏洞

Ionut Arghire 代码卫士 2024-12-10 10:10

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

上周末，QNAP系统修复在2024年Pwn2Own 爱尔兰大赛中演示的QTS 和 QuTS Hero 中的多个漏洞。

在 Pwn2Own 大赛中，参赛人员因发现QNAP 产品 exp 而获得数万美元的奖励，其中一个exp甚至获得10万美元的奖励，不过它涉及的不仅仅是 QNAP 公司的产品，还包括TrueNAS 设备中的漏洞。

QNAP 公司本次修复的最严重漏洞是CVE-2024-50393（CVSS评分8.7），它是一个命令注入漏洞，可导致远程攻击者在易受攻击设备上执行任意命令。CVE-2024-48868（CVSS评分8.7）是一个回车和换行 (CRLF) 注入漏洞，可被用于修改应用数据。
该CRLF 特殊元素被嵌入到代码中如HTTP标头作为结束标记。

QNAP 还修复了QTS 5.1.9.2954 build 20241120、QTS 5.2.2.2950 build 20241114、QuTS Hero h5.1.9.2954 build 20241120 和 QuTS Hero h5.2.2.2952 build 20241116中的多个漏洞。

这次更新还修复了一个证书验证不当漏洞CVE-2024-48865（CVSS评分7.3），可导致本地网络攻击者攻陷系统的安全性。另外，更新还修复了多个中危的认证不当和 CRLF 注入缺陷，以及低危的 Hex 编码和外部控制的格式化字符串漏洞。

QNAP还修复了位于 License Center 中的一个高危漏洞CVE-2024-48863（CVSS评分7.7），可导致远程攻击者运行任意命令。这些补丁已包含在 QNAP License Center 1.9.43 版本。用户需以管理员身份登录到QTS货QuTS Hero，打开应用程序中心，搜索找到 License Center，点击更新按钮。

QNAP 还宣布发布 Qsync Central 版本 4.4.0.16_20240819 (2024/08/19)，修复了一个“可导致拥有用户访问权限的攻击者，将文件系统遍历到非预期位置。”

虽然QNAP公司并未提到这些漏洞是否已遭在野利用，但鉴于其设备经常遭攻击，因此用户应尽快更新实例。更多信息可访问QNAP公司的安全公告页面。

代码卫士试用地址：
https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

2025 Pwn2Own东京汽车大赛公布目标和奖金

谷歌修复 Pwn2Own 2024大赛发现的两个 Chrome 0day

Mozilla 修复Pwn2Own大赛发现的两个 Firefox 0day

Pwn2Own 2024温哥华大赛落幕 Master of Pwn 诞生

原文链接

https://www.securityweek.com/qnap-patches-vulnerabilities-exploited-at-pwn2own/

题图：
Pixabay
License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。