SYSS-2016-065: Kritische Schwachstelle in NASdeluxe NDL-2400r

Die SySS entdeckte im Rahmen eines Penetrationstest eine sehr kritische Schwachstelle in einem Network Attached Storage (NAS). Über diese Schwachstelle lässt sich das System ohne Zugangsdaten von einem Angreifer vollständig kompromittieren, da dieser beliebige Befehle mit den höchsten Rechten ausführen kann (OS Command Injection). Die einzige technische Voraussetzung besteht darin, dass der Angreifer dazu in Lage ist, das Webinterface mit Loginmaske zu erreichen. Insbesondere sind keine Zugangsdaten nötig.

Da das verwundbare Produkt NASdeluxe NDL-2400r vom Hersteller Starline Computer GmbH bereits seit mindestens drei Jahren nicht mehr unterstützt wird (End-of-Life), wird dieser auch kein entsprechendes Update mehr bereitstellen. Die SySS empfiehlt daher dringend, auf noch vom Hersteller unterstützte Produkte zu wechseln. Diese sind nach Aussage der Starline GmbH auch nicht von der gefundenen Schwachstelle betroffen.

Detaillierte Informationen zu der Schwachstelle finden Sie in unserem Security Advisory/ You will find detailed information about these security issues in our Security Advisory:

• SYSS-2016-065

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.