{"id":259698,"date":"2021-11-22T18:59:18","date_gmt":"2021-11-22T17:59:18","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=259698"},"modified":"2021-11-23T00:58:01","modified_gmt":"2021-11-22T23:58:01","slug":"qnas-verffentlicht-nas-update-und-deaktiviert-eine-app","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/11\/22\/qnas-verffentlicht-nas-update-und-deaktiviert-eine-app\/","title":{"rendered":"QNAP ver&ouml;ffentlicht NAS-Update und deaktiviert eine App"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2021\/11\/23\/qnas-verffentlicht-nas-update-und-deaktiviert-eine-app\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Der Anbieter von NAS-Systemen, QNAP, hat Updates f\u00fcr seine Firmware freigegeben. Zudem wird eine App aus Sicherheitsgr\u00fcnden deaktiviert, denn Remote-Angreifer k\u00f6nnen Code in die Firmware des NAS-Speichers injizieren. F\u00fcr diese Schwachstelle gibt es wohl noch kein Sicherheitsupdate und die App wurde deaktiviert. Zudem scheint es so zu sein, dass Nutzer nach dem Umstieg auf QTS 5.0 Probleme melden. Hier ein Sammelbeitrag zu diesen Themen.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg08.met.vgwort.de\/na\/9d31e0db28604efdb787594bf84eb607\" alt=\"\" width=\"1\" height=\"1\" \/>Aktuell finde ich es nicht mehr, aber die Tage habe ich auf Facebook die Anfrage eines Nutzers gesehen, dessen QNAP-System kompromittiert worden war, obwohl die Firmware aktuell sei. Ist mir durch den Kopf gegangen, als ich Freitag letzte Woche nachfolgenden <a href=\"https:\/\/twitter.com\/heisec\/status\/1461655771561799680\" target=\"_blank\" rel=\"noopener\">Tweet<\/a> von heise sah.<\/p>\n<p><a href=\"https:\/\/twitter.com\/heisec\/status\/1461655771561799680\" target=\"_blank\" rel=\"noopener\"><img decoding=\"async\" title=\"QNAP-Sicherheit\" src=\"https:\/\/i.imgur.com\/oMW60F7.png\" alt=\"QNAP-Sicherheit\" \/><\/a><\/p>\n<h2>Schwachstelle in QTS und QuTS hero<\/h2>\n<p>Im Sicherheitshinweis <a href=\"https:\/\/www.qnap.com\/de-de\/security-advisory\/qsa-21-50\" target=\"_blank\" rel=\"noopener\">QSA-21-50<\/a> vom 19. November 2021 gibt QNAP eine Schwachstelle in den QNAP NAS-Ger\u00e4ten mit QTS und QuTS hero bekannt. Es geht um eine Heap-basierte Puffer\u00fcberlaufschwachstelle, die QNAP NAS-Ger\u00e4te betrifft, bei denen das Apple File Protocol (AFP) in QTS oder QuTS hero aktiviert ist. Wenn diese Sicherheitsl\u00fccke ausgenutzt wird, k\u00f6nnen Angreifer beliebigen Code ausf\u00fchren. QNAP hat diese Schwachstelle durch Firmware-Updates auf folgende Versionen geschlossen:<\/p>\n<ul>\n<li>QTS 5.0.0.1808 build 20211001 and later<\/li>\n<li>QTS 4.5.4.1800 build 20210923 and later<\/li>\n<li>QTS 4.3.6.1831 build 20211019 and later<\/li>\n<li>QTS 4.3.3.1799 build 20211008 and later<\/li>\n<li>QuTS hero h5.0.0.1844 build 20211105 and later<\/li>\n<li>QuTS hero h4.5.4.1813 build 20211006 and later<\/li>\n<\/ul>\n<p>Der Hersteller empfiehlt ein zeitnahes Update der betreffenden NAS-Firmware.<\/p>\n<h2>Schwachstelle in Multimedia Console<\/h2>\n<p>Mit dem Freigabedatum 12. November 2021 hat QNAP zudem den Sicherheitshinweis <a href=\"https:\/\/www.qnap.com\/de-de\/security-advisory\/qsa-21-45\" target=\"_blank\" rel=\"noopener\">QSA-21-45<\/a> ver\u00f6ffentlicht. In der Multimedia Console gibt es die Schwachstelle CVE-2021-38684. Diese Sicherheitsl\u00fccke erm\u00f6glicht es Angreifern beliebigen Code auszuf\u00fchren. Diese Sicherheitsl\u00fccke wurde in den folgenden Versionen behoben:<\/p>\n<ul>\n<li>Multimedia Console 1.4.3 (2021\/10\/05) and later<\/li>\n<li>Multimedia Console 1.5.3 (2021\/10\/05) and later<\/li>\n<\/ul>\n<p>Auch hier wurde ein Update auf die betreffende Version der Multimedia Console empfohlen.<\/p>\n<h2>Ungepatchte Schwachstelle<\/h2>\n<p>Heise weist in <a href=\"https:\/\/www.heise.de\/news\/Qnap-veroeffentlicht-NAS-Updates-und-deaktiviert-aus-Sicherheitsgruenden-eine-App-6272271.html\" target=\"_blank\" rel=\"noopener\">diesem Artikel<\/a> darauf hin, dass es in Ragic Cloud DB eine ungepatchte Reflected XSS-Schwachstelle (CVE-2021-38681) gebe. QNAP hat im Sicherheitshinweis <a href=\"https:\/\/www.qnap.com\/de-de\/security-advisory\/qsa-21-48\" target=\"_blank\" rel=\"noopener\">QSA-21-48<\/a> darauf hingewiesen, dass die\u00a0 reflektierte Cross-Site-Scripting (XSS)-Schwachstelle Remote Angreifern das Einschleusen von b\u00f6sartigem Code erm\u00f6glicht. Da es noch kein Sicherheitsupdate gibt, wurde Ragic Cloud DB bereits deaktiviert und aus dem QNAP App Center entfernt, bis ein Sicherheits-Patch von Ragic zur Verf\u00fcgung steht.<\/p>\n<h2>QTS 5.0 Probleme<\/h2>\n<p>Ich kann es nicht werten, da ich kein QNAP-NAS-Laufwerk einsetze. Auf Facebook sind mir in der Nutzergruppe einige Postings aufgefallen, die \u00fcber Probleme nach dem Upgrade auf <a href=\"https:\/\/www.qnap.com\/qts\/5.0\/de-de\/\" target=\"_blank\" rel=\"nofollow noopener\">QTS 5.0<\/a> klagen. heise hatte im Sommer in <a href=\"https:\/\/www.heise.de\/news\/QNAP-Netzwerkspeicher-NAS-Betriebssystem-QTS-5-0-mit-neuem-Linux-Kernel-6132570.html\" target=\"_blank\" rel=\"noopener\">diesem Beitrag<\/a> \u00fcber QTS 5.0 berichtet. Damals war noch alles Beta, aber nun sollen die Finals vorliegen und werden von den Leuten installiert. Hier eine Klage \u00fcber Probleme in QTS 5.0:<\/p>\n<blockquote><p>Habe heute das Update auf qts 5 gewagt und prompt hat sich phpmyadmin verabschiedet. Keine Zugriffe auf die DB mehr m\u00f6glich.<\/p>\n<p>Die App ist noch auf der Oberfl\u00e4che und kann gestartet werden. Bei der Eingabe des Passworts erscheint jedoch eine Fehlermeldung.<\/p>\n<p>Im Control Panel unter Anwendungen fehlt nun auch der Eintrag SQL Server.<\/p>\n<p>Ein Downgrade auf qts 4.5.4 brachte den alten Zustand wieder zur\u00fcck. MySQL l\u00e4uft wieder.<\/p><\/blockquote>\n<p>Ein Nutzer gab den Ratschlag, auf QTS 5.0x oder 5.1 zu warten. Ein weiterer Nutzer schreibt, dass das Problem bekannt sei, da beim Upgrade der MariaDB5-Server aus dem Appstore installiert werde. Beim \u00dcbertragen der alten Daten gibt es wohl Probleme mit Timeouts. Der Fehler k\u00f6nnen mit folgendem Befehl auf der SSH-Konsole behoben werden:<\/p>\n<pre>\/usr\/local\/mysql\/bin\/mysqld --tc-heuristic-recover=ROLLBACK --basedir \/usr\/local\/mysql --datadir \/share\/CACHEDEV1_DATA\/.@qmariadb\/data<\/pre>\n<p>Danach noch den Befehl:<\/p>\n<pre>\/etc\/init.d\/mariadb5.sh stop<\/pre>\n<p>und den Befehl:<\/p>\n<pre>\/etc\/init.d\/mariadb5.sh start<\/pre>\n<p>eingeben und es sollte wieder alles funktionieren. Wichtig w\u00e4re, den Pfad an die Gegebenheiten des NAS anzupassen (CACHEDEV1 k\u00f6nne zum Beispiel auch MD0_DATA sein).\u00a0 Ein weitere Benutzer schreibt in einem anderen Post:<\/p>\n<blockquote><p>War mal wieder so bl\u00f6de und habe schon auf OS 5 geupdatet! habe nur probleme!!!<\/p><\/blockquote>\n<p>Allerdings ist das wenig aussagekr\u00e4ftig. Im Thread gibt es auch zwei Fraktionen: Ich habe keine Probleme, und die zweite Fraktion: Ich habe auch nur Probleme. Frage: Gibt es Leute, die mit QTS 5.0 Probleme haben und die benennen k\u00f6nnen?<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Der Anbieter von NAS-Systemen, QNAP, hat Updates f\u00fcr seine Firmware freigegeben. Zudem wird eine App aus Sicherheitsgr\u00fcnden deaktiviert, denn Remote-Angreifer k\u00f6nnen Code in die Firmware des NAS-Speichers injizieren. F\u00fcr diese Schwachstelle gibt es wohl noch kein Sicherheitsupdate und die App &hellip; <a href=\"https:\/\/borncity.com\/blog\/2021\/11\/22\/qnas-verffentlicht-nas-update-und-deaktiviert-eine-app\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[4328,4315],"class_list":["post-259698","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-sicherheit","tag-update"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259698","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=259698"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259698\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=259698"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=259698"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=259698"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}