严重的PHP缺陷可导致QNAP NAS 设备遭RCE攻击
编译：代码卫士
QNAP提醒客户称，攻击者可利用一个已存在三年的严重PHP漏洞 (CVE-2019-11043)，在NAS设备执行远程代码。该公司在最新发布的安全公告中表示，默认配置的NAS设备不受影响，运行老旧系统（在2017年至2019年期间发布）的设备受影响。
QNAP 在安全公告中支持，“PHP 低于7.1.33的版本7.1.x、低于7.2.24的版本7.2.x以及低于7.2.11的7.3.x受一个漏洞影响，该漏洞如被利用可导致攻击者执行远程代码。为了保护您的设备，建议将系统定期更新至最新版本。”
QNAP 是中国台湾的一家硬件厂商，已修复易受攻击的某些操作系统版本（QTS 5.0.1.2034 build 20220515 或后续版本以及QuTS hero h5.0.0.2069 build 20220614 或后续版本）。
该漏洞是CVE-2019-11043，影响运行如下系统的大量设备：
QTS 5.0.x 及后续版本
QTS 4.5.x 及后续版本
QuTS hero h5.0.x 及后续版本
QuTS hero h4.5.x 及后续版本
QuTScloud c5.0.x 及后续版本
QMAP 客户如需将NAS设备自动更新至最新的固件版本，则需要以管理员身份登录 QTS、QuTS hero 或 QuTScloud，点击控制面板＞系统＞固件更新下的“检查更新”按钮。另外也可从Support＞Download Center下载 QNAP 网站更新，手动升级设备。
QNAP 设备遭勒索软件攻击
周四，QNAP提醒客户称注意设备遭部署DeadBolt 勒索软件payload的活跃攻击。
上周末，Bleeping Computer 报道称，该勒索软件开始再次攻击易受攻击的QNAP NAS 设备。目前，QNAP 并未发布关于攻击的更多详情，因此无法获得关于这些新的 DeadBolt 和勒索活动中使用的感染向量。
QNAP 正在开始着手在所有易受攻击固件版本中修复该PHP漏洞 (CVE-2019-11043)，用户应确保设备未暴露在互联网以阻止遭攻击。QNAP 指出，NAS 设备暴露到互联网的用户应当采取如下措施防止遭远程访问：
禁用路由器的Port Forwading（端口转发）功能：进入路由器的管理接口，检查虚拟服务器、NAT或端口转发设置，并禁用NAS管理服务端口（默认是端口8080和433）的端口转发设置。
禁用QNAP NAS 的UPnP 功能：进入 QTS 目录的myQNAPcloud，点击“自动路由器配置”并取消勾选的“启用UPnP 端口转发”。
QNAP 还详述了如何隐藏远程SSH 和 Telnet 连接，更改系统端口号码，更改设备密码，并启用IP和账户访问防护，进一步保护设备的安全。
PHP包管理器PEAR 中爆多个缺陷可发动供应链攻击，已潜伏15年
PHP修复输入验证代码中的漏洞
漏洞10年深藏不露，PHP 项目依赖关系管理工具Composer安全吗？
PHP Everywhere 插件中存在严重RCE，影响数千个 WordPress 站点
https://www.bleepingcomputer.com/news/security/critical-php-flaw-exposes-qnap-nas-devices-to-rce-attacks/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。