Система за наблюдение QNAP QVR. QNAP сигурност
Локална парола за отказ на услуга е открита от Луис Мартинес в QNAP QVR Professional Video Management Solution Client 5.1.1.30070 на Windows 10 Pro x64 es. Беше установено, че уязвимостта връща отговор на отказ за услуга при въвеждане на парола за клипборда. Тази уязвимост причинява срив на софтуера, като му пречи да изпълнява функциите и услугите, които е предназначен да изпълнява за потребителя. Към този момент на уязвимостта не е присвоен код CVE и не е пусната корекция за смекчаване или актуализиране за разрешаване на проблема.
The QNAP QVR версия 5.1 client е професионална система за управление на видео за кадри с висока разделителна способност и рибешко око, достъпна за гледане на всички в един прозорец. Системата QVR позволява на потребителите да управляват и наблюдават няколко IP идентифициращи се камери в изглед на живо чрез уеб браузър в реално време. Клиентът позволява на потребителите да контролират и нулират използването на PTZ, фиксирани и fisheye 360 съраунд камери, за да наблюдават задълбочено и гъвкаво наблюдение на сцените под ръка. Интелигентната функция за запис увеличава видеоразделителната способност, предавана при задействане на аларми, интуитивен режим на възпроизвеждане определя точката на бедствие в записан кадър, а функцията за двоен запис записва кадри в HD 30fps локално, въпреки че ограничената честотна лента на интернет може да предава само VHD 5fps по това време. Благодарение на предимствата на този задълбочен потребителски интерфейс, QNAP QVR системата е популярна система за сигурност, интегрирана в много магазини, домове и офиси за улеснен достъп, който обслужва.
Според Луис Мартинес, ако бъдат изпълнени следните стъпки, потребителят може да възпроизведе срив на отказа на достъп до парола. Това първо изисква стартиране на кода на python “python QNap_QVR_Client_5.1.1.30070.py” (обикновен текстов файл с 279 букви) и след това отваряне на файла QNap_QVR_Client_5.1.1.30070.txt, за да копирате съдържанието в клипборда. След това отворете QVR.exe> IP адрес в 10.10.10.1 / 80, въведете потребителското име като „admin“ и поставете клипборда в диалоговия прозорец за парола. Натискането на добре след това срива системата. Това се случва, тъй като въведената парола е твърде дълга.
Тъй като това е локална уязвимост, става опасно, ако идентификационните данни на потребителя не са добре защитени или ако системата е заразена със злонамерен софтуер, който е в състояние да повиши разрешенията и да изпълнява произволни команди за изпълнение на тази процедура.
След изслушване от техническия PR мениджър на QNAP Marketing Майкъл Уанг, бяхме информирани, че паролата за клипборда DoS е „само грешка в софтуера от страна на компютъра, без прекъсване от страна на сървъра за наблюдение или опасност от изтичане на чувствителни данни“ Бяхме сигурни, че „докато компютърът на клиента (за гледане на видео за наблюдение) се срине, сървърът за наблюдение (за запис, разположен отделно на нашия HW продукт) работи както обикновено и няма прекъсвания.
