권한 상승 원격 코드 실행 취약성이 SoftNAS Incorporated의 클라우드 데이터 관리 플랫폼에서 발견되었습니다. 보안 게시판 회사 자체에서 게시합니다. 이 취약점은 웹 관리 콘솔에 존재하는 것으로 확인되어 악의적 인 해커가 권한 부여의 필요성을 우회하여 루트 권한으로 임의의 코드를 실행할 수 있습니다. 이 문제는 특히 이러한 작업의 확인 및 실행을 담당하는 플랫폼 내의 엔드 포인트 snserv 스크립트에 나타납니다. 취약점에 레이블이 할당되었습니다. CVE-2018-14417 .
CoreSecurity SDI Corporation의 SoftNAS Cloud는 Netflix Inc., Samsung Electronics Co와 같은 인상적인 클라이언트 포트폴리오를 유지하면서 Amazon Web Services 및 Microsoft Azure와 같은 일부 대기업에 클라우드 지원을 제공하는 엔터프라이즈 기어 네트워크 자극 데이터 스토리지 시스템입니다. . Ltd., Toyota Motor Co., The Coca-Cola Co. 및 The Boeing Co. 스토리지 서비스는 NFS, CIFS / SMB, iSCSI 및 AFP 파일 프로토콜을 지원하며 가장 철저하고 통제 된 엔터프라이즈 스토리지 및 데이터 서비스를 제공합니다. 이러한 방식으로 솔루션. 그러나이 취약점은 사용자 권한을 높여 원격 해커가 대상 서버에서 악성 명령을 실행할 수 있도록합니다. 엔드 포인트에 인증 메커니즘이 설정되어 있지 않고 snserv 스크립트가 작업을 수행하기 전에 입력을 삭제하지 않기 때문에 해커는 세션 확인 없이도 후속 조치를 취할 수 있습니다. 웹 서버는 Sudoer 사용자에서 작동하기 때문에 해커는 루트 권한을 얻고 악성 코드를 실행할 수있는 완전한 액세스 권한을 얻을 수 있습니다. 이 취약점은 로컬 및 원격 모두에서 악용 될 수 있으며 악용의 심각한 위험으로 등급이 매겨집니다.
이 취약점은 5 월에 CoreSecurity SDI Corporation의 관심을 끌었으며 이후 보안 회사 웹 사이트에 게시 된 권고를 통해 해결되었습니다. SoftNAS에 대한 업데이트도 릴리스되었습니다. 사용자는 인증되지 않은 악성 코드 삽입 공격의 결과를 완화하기 위해 시스템을 최신 버전 인 4.0.3으로 업그레이드해야합니다.
