QNAP warns users to disable AFP until it fixes critical bugs
2022/04/27 BleepingComputer — 今週に台湾企業 QNAP は、Netatalk における複数の深刻な脆弱性を修正するまで、NAS アプライアンスの AFP ファイル・サービス・プロトコルを無効にするよう顧客に要請した。Netatalk とは AFP (Apple Filing Protocol) のオープンソース実装であり、NIX/BSD システムを macOS クライアント用の AppleShare AFP として動作させるものだ。
QNAP NAS デバイスでは、macOS システムからの NAS 上のデータへのアクセスを、AFP の利用に可能にしている。QNAP によると、「他のプロトコルではサポートされていない、数多くの macOS 独自の属性をサポートしている」ため、今でも使用されているとのことだ。
今回、QNAP が顧客に警告した３つの深刻な脆弱性 CVE-2022-23125／CVE-2022-23122／CVE-2022-0194 (CVSS：9.8) は、未パッチのデバイス上で認証を必要とせずに任意のリモートコード実行が可能だとされる。
Pwn2Own 2021 ハッキング大会において、NCC Group の EDG チーム・メンバーは、一連の脆弱性 から CVE-2022-23121 (CVSS：9.8) を選び、My Cloud OS ファームウェアを搭載した Western Digital PR4100 NAS で、認証なしのリモートコード実行を達成した。
Netatalk の開発チームは、Pwn2Own コンテスト後に不具合が報告されてから、３カ月が経過した 3月22日に、これらのバグを修正した Ver 3.1.13 をリリースした。QNAP によると、Netatalk の脆弱性 (QTS 4.5.4.2012 build 20220419 以降で修正) は、以下の OS バージョンに影響を及ぼすという。
- QTS 5.0.x and later
- QTS 4.5.4 and later
- QTS 4.3.6 and later
- QTS 4.3.4 and later
- QTS 4.3.3 and later
- QTS 4.2.6 and later
- QuTS hero h5.0.x and later
- QuTS hero h4.5.4 and later
- QuTScloud c5.0.x
QNAP ファームウェアにパッチが適用されるまで AFP を無効にする
QNAP は、「この件を徹底的に調査している。影響を受けるすべての QNAP OS の各バージョンに対するセキュリティ・アップデートをリリースし、また、可能な限り早急に情報を提供していく。これらの脆弱性を軽減するために、AFP を無効にしてほしい。そして、セキュリティ・アップデートが利用可能になり次第、そのインストールを推奨する」と述べている。
QTS／QuTS hero NAS デバイスで AFP を無効にするには、Control Panel > Network & File Services > Win/Mac/NFS/WebDAV > Apple Networking へ移動し、Disable AFP (Apple Filing Protocol) を選択する必要がある。
また、QNAP は、root 権限の不正取得のために活発に悪用されている Dirty Pipe という Linux の脆弱性と、DoS／ リモート・クラッシュにつながる OpenSSL の深刻な脆弱性に取り組んでいる。QuTScloud c5.0.x を実行している NAS デバイスでは、現時点で脆弱性 Dirty Pipe は修正されていないが、OpenSSL 脆弱性に対しては QTS セキュリティ・アップデートをリリースしている。１週間前には、QTS／QTS hero／QTScloud に影響を及ぼす、Apache HTTP Serverの２つの深刻な脆弱性の緩和策を顧客に提供している。
このところ、QNAP の脆弱性に関する記事が多いですが、3月14日の「QNAP 警告：大半の NAS デバイスが Linux の Dirty Pipe 脆弱性の影響を受ける」、3月30日の「QNAP 警告：NAS に影響をおよぼす OpenSSL 無限ループの脆弱性を FIX」、4月21日の「QNAP NAP に影響をおよぼす Apache HTTP Server のバグ：緩和策の実施が要請される」といった具合に、いずれも QNAP 側の責任ではないというものでした。最近、よく言われる、ソフトウェア・サプライチェーン問題の波を、もろに被っている感じで、ちょっと可哀想ですが、仕方ないですね。
IoT OT Security News 