Ang mga Bersyon ng SoftNAS Cloud OS Sa ibaba 4.0.3 Nabulok sa Pagpapatupad ng Remote Code

Ang isang pribilehiyo na nakataas ang kahinaan sa pagpapatupad ng remote code ay natuklasan sa cloud data management platform ng SoftNAS Incorporated na nakabalangkas sa isang bulletin ng seguridad nai-publish mismo ng kumpanya. Ang kahinaan ay natagpuan na mayroon sa web administration console na nagbibigay-daan sa mga nakakahamak na hacker na magpatupad ng di-makatwirang code na may mga pahintulot sa ugat na lampas sa pangangailangan para sa pahintulot. Partikular na ipinakita ang isyu sa endpoint snserv script sa loob ng platform na responsable para sa pagpapatunay at pagpapatupad ng mga naturang gawain. Ang kahinaan ay inilaan ang label CVE-2018-14417 .

Ang CoreSecurity SDI Corporation's SoftNAS Cloud ay isang nakatuon sa network na nakatuon sa sistema ng imbakan ng data na nagbibigay ng suporta sa cloud sa ilan sa mga pinakamalaking vendor tulad ng Amazon Web Services at Microsoft Azure habang pinapanatili ang isang kahanga-hangang portfolio ng mga kliyente tulad ng Netflix Inc., Samsung Electronics Co . Ltd., Toyota Motor Co., The Coca-Cola Co., at The Boeing Co. Sinusuportahan ng serbisyo sa pag-iimbak ang mga file ng NFS, CIFS / SMB, iSCSI, at mga file ng AFP at ginagawa para sa pinaka masusing at kontroladong imbakan ng negosyo at serbisyo sa data solusyon sa paraang ito. Gayunpaman, ang kahinaan na ito ay tumataas ang mga pahintulot ng gumagamit upang payagan ang isang remote hacker na magpatupad ng mga nakakahamak na utos sa target na server. Dahil walang mekanismo ng pagpapatunay na naka-set up sa endpoint at ang script ng snserv ay hindi nalinis ang input bago isagawa ang operasyon, ang hacker ay maaaring sundin nang hindi nangangailangan ng anumang pag-verify sa session. Dahil ang webserver ay nagpapatakbo sa isang gumagamit ng Sudoer, ang hacker ay maaaring makakuha ng mga pahintulot sa ugat at kumpletuhin ang pag-access upang magpatupad ng anumang nakakahamak na code. Ang kahinaan na ito ay kapwa lokal at malayuang mapakinabangan at na-marka sa isang kritikal na peligro ng pagsamantalahan.

Ang kahinaan na ito ay dinala sa pansin ng CoreSecurity SDI Corporation noong Mayo at mula noon ay napag-usapan sa isang payo na nai-publish sa website ng security firm. Ang isang pag-update para sa SoftNAS ay pinakawalan din. Hiniling ang mga gumagamit na i-upgrade ang kanilang mga system sa pinakabagong bersyon na ito: 4.0.3 upang mabawasan ang mga kahihinatnan ng isang hindi pinahintulutang pag-atake ng nakakahamak na code na iniksiyon.