News Sicherheitslücken in Qnap-NAS-Systemen

[mischaef]

Qnap hat zurzeit mit gravierenden Sicherheitslücken in seinen NAS- und anderen Systemen zu kämpfen. Durch diese können Angreifer im Fernzugriff potenziell beliebige Anweisungen als Administrator ausführen. Hiervon soll eine Vielzahl der Speicher- als auch der Videoüberwachungssysteme des Herstellers betroffen sein.

Zur News: Sicherheitslücken in Qnap-NAS-Systemen

 

[Daedal]

Qnaps NAS-Systeme sind ebenfalls betroffen, wenn auf diesen die Surveillance Station Pro installiert ist.

Verständnisfrage:
bedeutet dies, dass QNAP Systeme nur dann betroffen sind wenn dieser Surveillance Station Pro installiert ist, oder auch wenn einfach der Webserver läuft und Remote Zugriff über DynDNS oder ähnliches aktiviert ist?

 

[Suxxess]

Diese spezielle Software wird sich vermutlich hacken lassen um den ungewünschten Zugriff damit erlauben.
Sprich wenn man diese Software nicht installiert und eine passende Firmware hat, dann sollte man nicht betroffen sein.

 

[Green Mamba]

Das ist ja nix neues. Seit einiger Zeit hübscht QNap lediglich die Oberfläche auf und implementiert neue Features, statt die Basis mal vernünftig zu pflegen. Bereits im Stand von vor einem halben Jahr gab es bereits schwerwiegende Sicherheitslücken, die es trotz Hinweise aus der Beta in die Final geschafft haben.
http://techblog.teimotronic.de/?p=253

 

[LuzidDream]

Würde auch mich interessieren ob hier wirklich nur die Installation ausreicht um das System verwundbar zu machen oder ob das Programm auch aktiviert sein muss.

 

[Eleven]

Gibt wohl schon einen Fix dafür:

Security Fix for Surveillance Station Pro v3.0
http://forum.qnap.com/viewtopic.php?f=160&t=76396

Gruß,
Eleven

 

[LukS]

Ist die normale Surveillance Station (ohne Pro) auch betroffen?

 

[[n]ARC]

Fix ist bereits raus.

PS: Die neue Firmware 4.0.x ist raus

 

[computerbase107]

Das ist ja nix neues. Seit einiger Zeit hübscht QNap lediglich die Oberfläche auf und implementiert neue Features, statt die Basis mal vernünftig zu pflegen. Bereits im Stand von vor einem halben Jahr gab es bereits schwerwiegende Sicherheitslücken, die es trotz Hinweise aus der Beta in die Final geschafft haben.
https://teimotronic.de/?p=253

Wenn ich es richtig gelesen habe, bezieht sich das auf die Version 3.81. Gilt dies auch für die aktuelle Version 3.83 ?

 

[[n]ARC]

wie bereits oben erwähnt, ist die aktuelle version 4.0, nicht mehr 3.83. habe es bei mir bereits installiert, läuft alles prima. das einzige was eingebrochen ist, ist der datendurchsatz. nur noch mit 35-30 mb up und download. da muss ich mal schauen

 

[Coleslaw]

Würde auch mich interessieren ob hier wirklich nur die Installation ausreicht um das System verwundbar zu machen oder ob das Programm auch aktiviert sein muss.

Nein, auf dem NAS müssen keine Programme aktiviert sein. Es reicht, wenn die CGI-Skripte im passenden Verzeichnis liegen. pingping.cgi kann sogar OHNE Benutzeranmeldung ausgeführt werden!

 

[computerbase107]

wie bereits oben erwähnt, ist die aktuelle version 4.0, nicht mehr 3.83. habe es bei mir bereits installiert, läuft alles prima. das einzige was eingebrochen ist, ist der datendurchsatz. nur noch mit 35-30 mb up und download. da muss ich mal schauen

Bis vorgestern war es noch die Version 3.83. Hier gab es "über Nacht" das beschriebene Update.
Habe es inzwischen eingespielt und ich kann höchstens einen geringfügigen Rückgang in der Übertragungsrate feststellen.
Möglicherweise benötigt die neue Firmware mehr Hauptspeicher und eine Aufrüstung desselben.
Bei mir sind es 2GB und es läuft.

 

[[n]ARC]

Bis vorgestern war es noch die Version 3.83. Hier gab es "über Nacht" das beschriebene Update.
Habe es inzwischen eingespielt und ich kann höchstens einen geringfügigen Rückgang in der Übertragungsrate feststellen.
Möglicherweise benötigt die neue Firmware mehr Hauptspeicher und eine Aufrüstung desselben.
Bei mir sind es 2GB und es läuft.

hmm, naja habe eigentlich immer >500 MB an ram frei. mein QNAP ist komplett stock. Läuft eigentlich schon seit über einem Jahr absolut schmerzfrei. Bei >500 MB freiem ram, sehe ich eigentlich keine notwendigkeit den ram aufzustocken. mal im offizielen qnap forum stöbern.

 

[computerbase107]

@[n]ARC
Nun gut, es war ein Hinweis mit dem Hauptspeicher, mehr nicht.
Hast Du die Marvell-CPU oder die Intel-CPU in Deinem Nas wegen dem Performance-Einbruch ?

 

[[n]ARC]

Ist ein Intel Atom mit 1.8 Ghz.

 

[computerbase107]

Bei mir ist es auch ein Atom mit 1,6 GHz.

Hast viele von den Service-App´s laufen ?

 

[[n]ARC]

nein eigentlich nicht, twonky über das neue App Center, DLNA für meinen Sony Bravia und die Musik Station, ab und an RSync. Aber an sich ist das System nicht ausgelastet. Im Moment cacht twonky auch nichts, daher kompletter Leerlauf.

 

[computerbase107]

Kannst Du in Etwa beschreiben um wieviel die Schreib- und Lese-Performance mit der neuen Firmware schlechter geworden ist ?

 

[[n]ARC]

mit der 3.8.3er hatte ich imd down und upstream immer zwischen 80-105 MB/s. Mit der neuen kommt der garnicht mehr aus dem knick: 25-35 MB/s

 

[computerbase107]

Da würde ich direkt den Support informieren von Qnap.
Normal ist das nicht.