Versões do SoftNAS Cloud OS abaixo de 4.0.3 vulnerável à execução remota de código

Uma vulnerabilidade de execução remota de código de elevação de privilégios foi descoberta na plataforma de gerenciamento de dados em nuvem da SoftNAS Incorporated, conforme descrito em um boletim de segurança publicado pela própria empresa. A vulnerabilidade existe no console de administração da web, que permite que hackers mal-intencionados executem código arbitrário com permissões de root, ignorando a necessidade de autorização. O problema se apresenta particularmente no script snserv do endpoint na plataforma responsável pela verificação e execução de tais tarefas. A vulnerabilidade recebeu o rótulo CVE-2018-14417 .

O SoftNAS Cloud da CoreSecurity SDI Corporation é um sistema de armazenamento de dados estimulado por rede voltado para empresas que fornece suporte de nuvem para alguns dos maiores fornecedores, como Amazon Web Services e Microsoft Azure, enquanto mantém um portfólio impressionante de clientes como Netflix Inc., Samsung Electronics Co . Ltd., Toyota Motor Co., The Coca-Cola Co. e The Boeing Co. O serviço de armazenamento é compatível com os protocolos de arquivo NFS, CIFS / SMB, iSCSI e AFP e oferece o serviço de armazenamento e dados empresarial mais completo e controlado solução desta maneira. Essa vulnerabilidade, no entanto, eleva as permissões do usuário para permitir que um hacker remoto execute comandos maliciosos no servidor de destino. Como não há mecanismo de autenticação configurado no endpoint e o script snserv não limpa a entrada antes de realizar a operação, o hacker é capaz de prosseguir sem a necessidade de qualquer verificação de sessão. Como o servidor web opera em um usuário Sudoer, o hacker pode obter permissões de root e acesso completo para executar qualquer código malicioso. Esta vulnerabilidade pode ser explorada tanto local quanto remotamente e é classificada como um risco crítico de exploração.

Essa vulnerabilidade foi trazida à atenção da CoreSecurity SDI Corporation em maio e, desde então, foi tratada em um comunicado publicado no site da empresa de segurança. Uma atualização para SoftNAS também foi lançada. Os usuários são solicitados a atualizar seus sistemas para a versão mais recente: 4.0.3 para mitigar as consequências de um ataque de injeção de código malicioso não autorizado.