In der Cloud-Datenverwaltungsplattform von SoftNAS Incorporated wurde eine Sicherheitsanfälligkeit bezüglich der Erhöhung der Remotecodeausführung entdeckt, wie in a beschrieben Sicherheitsbulletin von der Firma selbst veröffentlicht. Die Sicherheitsanfälligkeit liegt in der Webadministrationskonsole vor, die es böswilligen Hackern ermöglicht, beliebigen Code mit Root-Berechtigungen auszuführen, ohne dass eine Autorisierung erforderlich ist. Das Problem tritt insbesondere im Endpunkt-Snserv-Skript innerhalb der Plattform auf, die für die Überprüfung und Ausführung solcher Aufgaben verantwortlich ist. Der Sicherheitsanfälligkeit wurde das Etikett zugewiesen CVE-2018-14417 .
Die SoftNAS Cloud der CoreSecurity SDI Corporation ist ein netzwerkstimuliertes Datenspeichersystem für Unternehmen, das einigen der größten Anbieter wie Amazon Web Services und Microsoft Azure Cloud-Support bietet und gleichzeitig ein beeindruckendes Kundenportfolio wie Netflix Inc., Samsung Electronics Co. . Ltd., Toyota Motor Co., Coca-Cola Co. und Boeing Co. Der Speicherdienst unterstützt die Dateiprotokolle NFS, CIFS / SMB, iSCSI und AFP und sorgt für den gründlichsten und kontrolliertesten Speicher- und Datendienst für Unternehmen Lösung auf diese Weise. Diese Sicherheitsanfälligkeit erhöht jedoch die Benutzerberechtigungen, damit ein Remote-Hacker böswillige Befehle auf dem Zielserver ausführen kann. Da auf dem Endpunkt kein Authentifizierungsmechanismus eingerichtet ist und das snserv-Skript die Eingabe vor dem Ausführen des Vorgangs nicht bereinigt, kann der Hacker die Sitzung ohne Sitzungsüberprüfung durchführen. Da der Webserver mit einem Sudoer-Benutzer arbeitet, kann der Hacker Root-Berechtigungen und vollständigen Zugriff erhalten, um schädlichen Code auszuführen. Diese Sicherheitsanfälligkeit kann sowohl lokal als auch remote ausgenutzt werden und ist einem kritischen Exploit-Risiko ausgesetzt.
Diese Sicherheitsanfälligkeit wurde der CoreSecurity SDI Corporation im Mai zur Kenntnis gebracht und seitdem in einem auf der Website des Sicherheitsunternehmens veröffentlichten Gutachten behoben. Ein Update für SoftNAS wurde ebenfalls veröffentlicht. Benutzer werden gebeten, ihre Systeme auf die neueste Version: 4.0.3 zu aktualisieren, um die Folgen eines nicht autorisierten Angriffs auf die Injektion von bösartigem Code zu mildern.
