A QNAP egy biztonsági felhívást tett közzé nemrégiben, amelynek keretén belül arra hívták fel a figyelmet, hogy a vállalat egyes NAS egységei veszélyben lehetnek, ugyanis kiaknázhatóak náluk a Dirty Pipe névre keresztelt Linux kernel sebezhetőségben rejlő lehetőségek. Ennek köszönhetően a felkészült támadó lényegében adminisztrátori jogosultságot szerezhet az adott hálózati adattárolón, amelynek eredményeként egyebek mellett akár kártékony kódok beinjektálására is módja van.
Az illetékesek a sebezhetőséget „magas” besorolással látták el, ami csak egy szinttel marad el a „kritikus” besorolástól, azaz eléggé nagy veszélyről van szó. Hogy mely NAS modellek érintettek? Lényegében azok, amelyek a QTS 5.0.x, illetve a QuTS hero h.5.0.x változatát futtatják – az x86-os processzorral szerelt modellek mindegyike, az ARM SoC egységekkel rendelkező modellek közül azonban csak bizonyos példányok érintettek. A sebezhető modellek listája itt található, a QTS 4.x verziójú operációs rendszert futtató modellek azonban egyáltalán nem érintettek.
A Dirty Pipe névre keresztelt sebezhetőség a Linux kernelt használó operációs rendszereket érinti, ezen belül is azokat, amelyek az 5.8-as kernel verziót, vagy ennél újabbat használnak, és ezen a téren az Android is érintett. A Google az Android esetében már február folyamán elkészítette a szükséges patchet, míg a Linux kernelek esetében az 5.16.11-es, az 5.15.25-ös, illetve az 5.10.102-es kiadás is védett, illetve minden egyéb olyan Linux kernel, amelyek frissebb verziószámmal bírnak.
A CVE-2022-0847-es bejegyzés alatt futó Dirty Pipe a jelek szerint helyi hozzáférést igényel, ennek birtokában lehetőség van a Linux kernelben található copy_page_to_iter_pipe és a push_pipe funkciók értékeinek átírására, ezeknél ugyanis a nem megfelelő inicializáció miatt nincs megfelelő jogosultság-ellenőrzés. A helyi felhasználó ezen keresztül magasabb jogosultsági szintet szerezhet, amelyen keresztül teljes hatalommal bírhat az adott rendszer felett.
Az aktuális sebezhetőséget csak és kizárólag biztonsági frissítéssel lehet befoltozni, ez pedig egyelőre még készül. A vállalat illetékesei nem fogalmaztak meg semmilyen biztonsági ajánlást a felhasználók számára, így sem a NAS internetelérésének korlátozását, sem a teljes leválasztást nem említették – a DeadBolt zsarolóvírus megjelenésekor más volt a helyzet.
Remélhetőleg a QNAP fejlesztőcsapata most is hamar elkészíti a sebezhetőséget befoltozó tapaszt – a fentebb említett DeadBolt esetében mindössze nyolc napra volt szükség ehhez.
