QNAP QVR Security Client 5.1 Najdeno ranljivo za DoS za geslo odložišča

Nadzorni sistem QNAP QVR. Varnost QNAP

Luis Martinez je v odjemalcu QNAP QVR Professional Video Management Solution 5.1.1.30070 v operacijskem sistemu Windows 10 Pro x64 es odkril lokalno ranljivost zavrnitve storitve. Ugotovljeno je bilo, da ranljivost ob vnosu gesla za odložišče vrne odgovor na zavrnitev storitve. Ta ranljivost povzroči zrušitev programske opreme, ki ji preprečuje izvajanje funkcij in storitev, ki jih namerava izvajati za uporabnika. Koda CVE še ni bila dodeljena ranljivosti in ni bil izdan noben popravek za ublažitev ali posodobitev za rešitev težave.

The QNAP QVR različica 5.1 client je profesionalni sistem za upravljanje video posnetkov z visoko ločljivostjo in varnostnimi posnetki ribje oko, ki je dostopen za ogled v enem oknu. Sistem QVR omogoča uporabnikom, da v realnem času prek spletnega brskalnika v realnem času upravljajo in nadzirajo več IP ​​prepoznavnih kamer v pogledu v živo. Odjemalec uporabnikom omogoča nadzor in ničelno uporabo PTZ, fiksnih in fisheye 360 ​​prostorskih kamer, da temeljito in prilagodljivo spremljajo prizor. Pametna funkcija snemanja poveča ločljivost videa, ki se oddaja ob sprožitvi alarmov, intuitiven način predvajanja natančno določi točko stiske na posnetem posnetku, funkcija dvojnega snemanja pa lokalno shrani posnetke v HD 30 sličic na sekundo, čeprav omejena pasovna širina interneta lahko prenaša samo VHD 5 sličic na sekundo ob uri. Zaradi prednosti tega temeljitega uporabniškega vmesnika je sistem QNAP QVR priljubljen varnostni sistem, ki je zaradi lažjega dostopa do svojih storitev vgrajen v številne trgovine, domove in pisarne.

Po besedah ​​Luisa Martineza lahko uporabnik v naslednjih korakih reproducira zrušitev zavrnitve gesla. Najprej je treba zagnati kodo python “python QNap_QVR_Client_5.1.1.30070.py” (navadna besedilna datoteka z 279 črkami) in nato odpreti datoteko QNap_QVR_Client_5.1.1.30070.txt, da kopirate vsebino v odložišče. Nato odprite QVR.exe> ​​Naslov IP v 10.10.10.1 / 80, vnesite uporabniško ime kot »admin« in prilepite odložišče v pogovorno okno za geslo. Če pritisnete OK, nato sistem zruši. To se zgodi, ker je geslo predolgo.

Ker gre za lokalno ranljivost, postane nevarno, če poverilnice uporabnika niso dobro zaščitene ali če je sistem okužen z zlonamerno programsko opremo, ki lahko zviša dovoljenja in zažene poljubne ukaze za izvajanje tega postopka.

Po zaslišanju tehničnega vodje za odnose z javnostmi QNAP Marketinga Michaela Wanga smo bili obveščeni, da je geslo DoS za odložišče 'le napaka programske opreme na osebnem računalniku brez kakršnih koli prekinitev nadzornega strežnika ali zaskrbljenosti zaradi uhajanja občutljivih podatkov.' Zagotovljeno nam je bilo, da 'med odpovedovanjem odjemalca osebnega računalnika (za ogled nadzornega videa) nadzorni strežnik (za snemanje, ločeno na našem HW izdelku) deluje kot običajno in ne pride do prekinitev.'