F-Secure는 QNAP NAS 시스템이 1년 동안 패치되지 않은 세 가지 취약점이 있다고 보고합니다. 이러한 취약점은 공격자가 장치를 완벽하게 제어할 수있게 하여 데이터와 암호를 훔칩니다.

F-Secure는 QNAP TV-663의 취약점을 발견했으나 다른 제조업체의 NAS도 취약할 수 있다고 말합니다. 

공격자는 3가지 취약점이 악용된 경우 관리자 권한을 얻을 수 있습니다. 이러한 권한으로 공격자는 맬웨어를 설치하거나 스팸을 보내거나 데이터와 암호를 도용할 수 있습니다.

원인으로는 NAS의 자동 펌웨어 업데이트 기능입니다. 공격자가 악의적인 업데이트를 장치에 보내면 펌웨어가 실제로 QNAP에서 온 것인지 확인하지 않습니다. 이를 통해 공격자는 중간자 (man-in-the-middle) 공격을 수행하고 장치에 악의적인 펌웨어를 보내 장치를 제어할 수 있습니다.

F-Secure는 작년 2월에 QNAP에 취약점을 보고했지만 회사는 아직 패치하지 않았습니다. 지금까지는 TVS-663 만 영향을 받는 것으로 알려져 있지만 QNAP는 여러 모델에서 동일한 펌웨어를 사용하기 때문에 다른 QNAP NAS 장치도 취약할 가능성이 큽니다.

최소 140만 대의 TVS-663 장치가 펌웨어를 실행하고 있지만, 수백만 개의 다른 QNAP 장치도 마찬가지로 취약합니다. QNAP는 세계에서 두 번째로 큰 NAS 공급 업체입니다. F-Secure는 자동 업데이트를 비활성화하고 문제가 해결될 때까지 수동으로 업데이트를 하거나 TQS 펌웨어 4.2 이상을 권장합니다.

문제의 QNAP TV-663

출처 : http://quasarzone.co.kr/bbs/board.php?bo_table=qn_hardware&wr_id=49596&sca=%EB%84%A4%ED%8A%B8%EC%9B%8C%ED%81%AC