Mise à jour critique pour QNAP NAS : Protégez-vous des vulnérabilités Rsync.
QNAP a récemment publié une importante mise à jour pour une application disponible sur ses NAS, visant à protéger ses utilisateurs contre 6 vulnérabilités découvertes dans Rsync. Découvrez pourquoi il est crucial d’installer cette mise à jour.
Alerte de sécurité liée à Rsync
Rsync est un outil de synchronisation très apprécié, offrant de nombreuses options pour transférer ou synchroniser des données entre deux machines, y compris via SSH. Récemment, 6 vulnérabilités majeures ont été découvertes, ce qui a entraîné un bulletin de sécurité pour cet outil.
Voici la liste des vulnérabilités identifiées :
- CVE-2024-12084 (score CVSS : 9.8) : dépassement de tampon dans Rsync dû à une mauvaise gestion de la longueur des sommes de contrôle.
- CVE-2024-12085 (score CVSS : 7.5) : fuite d’informations via un contenu de pile non initialisé.
- CVE-2024-12086 (score CVSS : 6.1) : fuite de fichiers arbitraires via un serveur Rsync.
- CVE-2024-12087 (score CVSS : 6.5) : vulnérabilité de type “path traversal” dans Rsync.
- CVE-2024-12088 (score CVSS : 6.5) : contournement de l’option –safe-links, conduisant à une attaque path traversal.
- CVE-2024-12747 (score CVSS : 5.6) : race condition dans la gestion des liens symboliques.
Le CERT/CC a émis une alerte sérieuse pour ces vulnérabilités, soulignant que ces failles permettent à un client d’exécuter un code arbitraire sur un appareil utilisant un serveur Rsync, exposant ainsi les NAS QNAP.
Lien entre QNAP et Rsync
Plusieurs outils, tels que Rclone, DeltaCopy ou ChronoSync, utilisent une implémentation de Rsync. QNAP intègre quant à lui Rsync dans son application “HBS 3 Hybrid Backup Sync 25.1.x” dédiée à la sauvegarde des données et à la reprise après sinistre.
Pour vous protéger contre ces 6 failles de sécurité présentes dans Rsync, et par extension dans l’application HBS 3 Hybrid Backup Sync, assurez-vous d’utiliser la version 25.1.4.952 de l’application (ou ultérieure). Pour effectuer cette mise à jour, connectez-vous au système QTS ou QuTS Hero de votre NAS, accédez à l’App Center et mettez à jour HBS 3 Hybrid Backup Sync.
Si vous n’utilisez pas cette application, aucun risque encouru : elle n’est probablement pas installée par défaut sur les NAS QNAP.
Source : www.it-connect.fr
