总部位于中国台湾的 QNAP Systems 周五宣布修复其产品组合中的十几个漏洞，其中包括操作系统中的高严重性缺陷。

第一个高严重性问题是 CVE-2023-39296，它被描述为原型污染缺陷，可能允许远程攻击者“用类型不兼容的属性覆盖现有属性，这可能导致系统崩溃”， QNAP 在其公告（）中解释道。

该漏洞影响 QTS 版本 5.1.x 和 QuTS Hero 版本 h5.1.x，并通过 QTS 5.1.3.2578 build 20231110 和 QuTS Hero h5.1.3.2578 build 20231110 的发布得到解决。

这两个版本还解决了 CVE-2022-43634，这是 Netatalk 中的一个安全漏洞，该漏洞可能允许攻击者无需身份验证即可远程执行任意代码。

“该特定缺陷存在于 dsi_writeinit 函数中。该问题是由于在将用户提供的数据复制到基于堆的固定长度缓冲区之前缺乏对用户提供的数据的长度进行正确验证而导致的。攻击者可以利用此漏洞在 root 上下文中执行代码。” NIST 公告（）中写道。

周五，QNAP 还针对 Video Station 中的两个高严重性漏洞发布了补丁，即 SQL 注入 (CVE-2023-41287) 和操作系统命令注入 (CVE-2023-41288)，这些漏洞可通过网络被利用。Video Station 5.7.2 版解决了这两个问题。

QuMagie 2.2.1 的发布解决了另外两个严重性高、可远程利用的错误，即 CVE-2023-47559（跨站脚本 (XSS) 缺陷）和 CVE-2023-47560（操作系统命令注入缺陷）。

此外，QNAP 还发布了针对 QTS、QuTS Hero、QcalAgent 和 QuMagie 中其他多个中度和低度严重漏洞的补丁。有关这些漏洞的详细信息可以在QNAP 的安全公告（）页面上找到。

QNAP 没有提及任何在野外被利用的安全漏洞，但已知攻击者会针对未修补的 QNAP 设备进行恶意攻击。

QNAP 主要以其网络附加存储 (NAS) 和专业网络录像机 (NVR) 产品而闻名，同时还生产各类网络设备。

参考链接：