QNAP QVR Security Client 5.1 leidis, et lõikepuhvri parooli DoS on haavatav

QNAP QVR seiresüsteem. QNAP-i turvalisus

Luis Martinez avastas Windows 10 Pro x64 es operatsioonisüsteemi QNAP QVR Professional Video Management Solution Client 5.1.1.30070 kohaliku parooliga teenuse keelamise haavatavuse. Leiti, et lõikepuhvri parooli sisestamisel tagastati teenuse keelamise vastus. See haavatavus põhjustab tarkvara krahhi, mis takistab tal funktsioone ja teenuseid, mida see kasutaja jaoks mõeldud on. CVE-koodi ei ole haavatavusele veel määratud ja probleemi lahendamiseks pole välja antud ühtegi leevendus- ega värskendusparandust.

The QNAP QVR versioon 5.1 klient on professionaalne videohaldussüsteem kõrge eraldusvõimega ja kalasilmade turvamaterjalide jaoks, mis on ligipääsetav kõigi akende vaatamiseks. QVR-süsteem võimaldab kasutajatel reaalajas veebibrauseri kaudu hallata ja jälgida mitut IP-ga tuvastatavat kaamerat otsevaates. Klient võimaldab kasutajatel PTZ-, fikseeritud ja kalasilm 360 ruumikaameratega juhtida ja nullida, et hoida käepärastel stseenidel põhjalikku ja paindlikku silma. Nutikas salvestusfunktsioon suurendab häirete käivitamisel edastatava video eraldusvõimet, intuitiivne taasesitusrežiim määrab salvestatud kaadris hädapunkti ja kahekordse salvestamise funktsioon salvestab kohapeal HD 30 kaadrit sekundis kaadri, kuigi piiratud Interneti ribalaius suudab edastada ainult VHD 5 kaadrit sekundis sellel ajal. Selle põhjaliku kasutajaliidese abil on QNAP QVR-süsteem populaarne turvasüsteem, mis on integreeritud paljudesse kauplustesse, kodudesse ja kontoritesse, et hõlbustada juurdepääsu teenusele.

Luis Martinezi sõnul saab kasutaja järgmiste toimingute korral reprodutseerida parooliga juurdepääsu keelamise krahhi. Selleks on kõigepealt vaja käivitada pythoni kood “python QNap_QVR_Client_5.1.1.30070.py” (279 tähega lihttekstifail) ja seejärel avada fail QNap_QVR_Client_5.1.1.30070.txt, et sisu lõikelauale kopeerida. Järgmisena avage jaotises 10.10.10.1 / 80 QVR.exe> ​​IP-aadress, sisestage kasutajanimi kui admin ja kleepige lõikelaual paroolidialoog. Kui vajutate OK, siis kukub süsteem kokku. See juhtub, kuna sisestatud parool on liiga pikk.

Kuna tegemist on kohaliku haavatavusega, muutub see ohtlikuks, kui kasutaja mandaadid pole hästi kaitstud või kui süsteem on nakatunud pahavaraga, mis on võimeline selle protseduuri täitmiseks õigusi suurendama ja suvalisi käske käivitama.

QNAP-i turunduse tehnilise PR-juhi Michael Wangi kuuldes teatati meile, et lõikepuhvri parool DoS on 'ainult arvutipoolne tarkvaraviga, ilma et jälgimisserveri poolne katkestus või tundlike andmete lekkimine oleks muretu'. Meile tagati, et kui PC-klient (jälgimisvideo vaatamiseks) krahh töötab, töötab valveserver (salvestamiseks, mis asub meie HW-tootel eraldi) tavapäraselt ja katkestusi ei toimu.