Die SySS entdeckte im Rahmen eines Penetrationstest eine sehr kritische Schwachstelle in einem Network Attached Storage (NAS). Über diese Schwachstelle lässt sich das System ohne Zugangsdaten von einem Angreifer vollständig kompromittieren, da dieser beliebige Befehle mit den höchsten Rechten ausführen kann (OS Command Injection). Die einzige technische Voraussetzung besteht darin, dass der Angreifer dazu in Lage ist, das Webinterface mit Loginmaske zu erreichen. Insbesondere sind keine Zugangsdaten nötig.
Da das verwundbare Produkt NASdeluxe NDL-2400r vom Hersteller Starline Computer GmbH bereits seit mindestens drei Jahren nicht mehr unterstützt wird (End-of-Life), wird dieser auch kein entsprechendes Update mehr bereitstellen. Die SySS empfiehlt daher dringend, auf noch vom Hersteller unterstützte Produkte zu wechseln. Diese sind nach Aussage der Starline GmbH auch nicht von der gefundenen Schwachstelle betroffen.
Detaillierte Informationen zu der Schwachstelle finden Sie in unserem Security Advisory/ You will find detailed information about these security issues in our Security Advisory:
23.05.2022
- 25.05.2022
SySS auf der GSE DACH Jahrestagung
24.05.2022
- 25.05.2022
Hack7: Sicherheit und Einfallstore bei Webapplikationen
01.06.2022
- 03.06.2022
SySS auf den 9. Hamburger Datenschutztagen
06.06.2022
- 07.06.2022
SySS auf der CONFidence in Krakau
Ihr direkter Kontakt zu SySS +49 (0)7071 - 40 78 56-0 oder anfrage@syss.de | IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN +49 (0)7071 - 40 78 56-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer
Ihr direkter Kontakt zu SySS +49 (0)7071 - 40 78 56-0 oder anfrage@syss.de
IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN +49 (0)7071 - 40 78 56-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer
Direkter Kontakt
+49 (0)7071 - 40 78 56-0 oder anfrage@syss.de
IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN
+49 (0)7071 - 40 78 56-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer