某网络设备供给商RoonServer权限认证缝隙与号令注入缝隙预警

颁布功夫 2021-06-11

2021年5月9日，，，，，， ，凭据CNCERT物联网威胁谍报数据平台的监测线索，，，，，， ，8827太阳集团集团金睛安全钻研团队结合CNCERT物联网安全钻研团队发现2项零日缝隙的在野利用行为。。。。。


经确认，，，，，， ，这2项零日缝隙均存在于威联通（QNAP）产品的RoonServer利用中，，，，，， ，别离是权限认证缝隙与号令注入缝隙，，，，，， ，攻击者能够将这2个缝隙组合起来使用，，，，，， ，以达到未授权远程执行肆意号令的主张。。。。。


我们将有关的缝隙分析、复现汇报实时报送给厂商QNAP，，，，，， ，目前，，，，，， ，QNAP已建复该缝隙，，，，，， ，并升级利用软件。。。。。


缝隙分析


威联通科技，，，，，， ，简称威联通，，，，，， ，英语译名暨品牌名称为QNAP，，，，，， ，为一间总部位于中国台湾的科技公司。。。。。其产品蕴含网络附加存储设备、视频监控录像设备、网络互换机、无线路由器、无线/有线网卡和视频会议设备等。。。。。


缝隙道理


◆权限绕过缝隙（CVE-2021-28810）


由于利用对登录权限的验证存在缝隙，，，，，， ，只有某参数存在且其值非空，，，，，， ，即可绕过登录验证。。。。。攻击者可自行机关特殊的要求进行绕过。。。。。


1.png


◆号令注入缝隙（CVE-2021-28811）


当url中指定的action为特定值时，，，，，， ，利用会接管另一个参数的值，，，，，， ，经过单一的去除标签处置后，，，，，， ，传入set_db_path函数。。。。。跟踪set_db_path函数，，，，，， ，能够看到此函数将其参数直接拼接到了shell_exec函数中执行，，，，，， ，没有再进行任何过滤。。。。。


2.png


将上述两个缝隙共同使用，，，，，， ，即可造成未授权的肆意号令执杏祝。。。。


在野攻击


我们别离在5月8日与5月18日捕获到两起利用此缝隙进行的在野攻击。。。。。经过度析，，，，，， ，确认攻击者尝试植入的载荷为eCh0raix勒索软件。。。。。


eCh0raix也被称为QNAPCrypt，，，，，， ，最早在2019年出现，，，，，， ，是一个基于Go说话、专门针对威联通设备的勒索软件。。。。。运行后，，，，，， ，会加密设备上存储的文件，，，，，， ，加密后扩大名是.encrypt。。。。。加密实现后，，，，，， ，还会开释一个叫README_FOR_DECRYPT.txt的文本文件，，，，，， ，提醒受害者通过TOR支付赎金。。。。。内容大体如下：


All your data has been locked(crypted).

How to unlock(decrypt) instruction located in this TOR website:

http://veqlxhq7ub5qze3qy56zx2cig2e6tzsgxdspkubwbayqije6oatma6id.onion/order/xxx

Use TOR browser for access .onion websites.


其中XXX是hash，，，，，， ，用来标志唯一的受害者，，，，，， ，TOR支付赎金的页面如下：


3.png


受影响固件版本


QNAP RoonServer 2021-02-01及之前版本。。。。。


缝隙发现功夫轴


? 2021年5月9日，，，，，， ，我们发现了黑客利用威联通设备0Day缝隙传布勒索软件eCh0raix的攻击行为。。。。。

? 2021年5月12日，，，，，， ，我们向厂商（QNAP）的安全团队报送了具体的缝隙分析、复现汇报，，，，，， ，以援手他们建复产品。。。。。

? 2021年5月14日，，，，，， ，厂商确认缝隙存在，，，，，， ，将缝隙利用从app center下架，，，，，， ，并起头着手建复。。。。。

? 2021年6月04日，，，，，， ，厂商建复实现，，，，，， ，QNAP官方沉新在app center颁布建复后的利用。。。。。

? 2021年6月08日，，，，，， ，更新并确认CVE编号。。。。。


解决规划


升级Roon Server到最新版本，，，，，， ，具体请关注QNAP官方关于此缝隙的建复规划。。。。。

https://www.qnap.com.cn/zh-cn/security-advisory/qsa-21-17


（注：本汇报由CNCERT物联网安全钻研团队与8827太阳集团集团金睛安全钻研团队共同颁布。。。。。）