Verzije OS SoftNAS Cloud ispod 4.0.3 Ranjive za daljinsko izvršavanje koda

Povlastica koja podiže ranjivost udaljenog izvršavanja koda otkrivena je u platformi za upravljanje podacima u oblaku SoftNAS Incorporated, kako je navedeno u sigurnosni bilten objavila sama tvrtka. Utvrđeno je da ranjivost postoji u web administracijskoj konzoli koja zlonamjernim hakerima omogućuje izvršavanje proizvoljnog koda s root dopuštenjima zaobilazeći potrebu za autorizacijom. Problem se posebno predstavlja u skripti krajnje točke snserv unutar platforme odgovorne za provjeru i izvršavanje takvih zadataka. Oznaka je dodijeljena ranjivosti CVE-2018-14417 .

SoftNAS Cloud CoreSecurity SDI Corporation korporacijski je usmjeren mrežnim sustavom za pohranu podataka koji pruža podršku u oblaku nekim od najvećih dobavljača kao što su Amazon Web Services i Microsoft Azure, a istodobno održava impresivan portfelj klijenata poput Netflix Inc., Samsung Electronics Co Ltd., Toyota Motor Co., Coca-Cola Co. i Boeing Co. Usluga pohrane podržava protokole datoteka NFS, CIFS / SMB, iSCSI i AFP i omogućuje najtemeljitiju i najkontroliraniju uslugu pohrane i podataka u poduzeću. rješenje na ovaj način. Ova ranjivost, međutim, podiže korisnička dopuštenja kako bi se udaljenom hakeru omogućilo izvršavanje zlonamjernih naredbi na ciljnom poslužitelju. Budući da u krajnjoj točki nije postavljen mehanizam za provjeru autentičnosti, a snserv skripta ne čisti ulaz prije izvođenja operacije, haker je u mogućnosti to provesti bez potrebe za provjerom sesije. Budući da web poslužitelj radi na Sudoer korisniku, haker može dobiti root dozvole i potpuni pristup za izvršavanje bilo kojeg zlonamjernog koda. Ova se ranjivost može lokalno i daljinski iskoristiti i ocjenjuje se pod kritičnim rizikom eksploatacije.

Ovoj ranjivosti skrenuta je pažnja CoreSecurity SDI Corporation u svibnju i otad je riješena u savjetima objavljenim na web mjestu zaštitarske tvrtke. Objavljeno je i ažuriranje za SoftNAS. Korisnici se moraju nadograditi na najnoviju verziju 4.0.3 kako bi ublažili posljedice neovlaštenog napada zlonamjernog koda.