Привилегия за повишаване на уязвимостта при отдалечено изпълнение на код беше открита в платформата за управление на данни в облак на SoftNAS Incorporated, както е посочено в бюлетин за сигурността публикувано от самата компания. Установено е, че уязвимостта съществува в конзолата за уеб администриране, което позволява на злонамерени хакери да изпълняват произволен код с root права, заобикаляйки необходимостта от оторизация. Проблемът се представя особено в скрипта за крайна точка snserv в рамките на платформата, отговаряща за проверката и изпълнението на такива задачи. Уязвимостта е определена като етикет CVE-2018-14417 .
SoftNAS Cloud на CoreSecurity SDI Corporation е корпоративно ориентирана към мрежата система за съхранение на данни, която осигурява облачна поддръжка на някои от най-големите доставчици като Amazon Web Services и Microsoft Azure, като същевременно поддържа впечатляващо портфолио от клиенти като Netflix Inc., Samsung Electronics Co . Ltd., Toyota Motor Co., Coca-Cola Co. и The Boeing Co. Услугата за съхранение поддържа NFS, CIFS / SMB, iSCSI и AFP файлови протоколи и прави възможно най-задълбоченото и контролирано корпоративно съхранение и услуги за данни решение по този начин. Тази уязвимост обаче повишава потребителските разрешения, за да позволи на отдалечен хакер да изпълнява злонамерени команди в целевия сървър. Тъй като в крайната точка не е настроен механизъм за удостоверяване и snserv скриптът не дезинфекцира входа преди извършване на операцията, хакерът е в състояние да го изпълни, без да е необходима проверка на сесията. Тъй като уеб сървърът работи с потребител на Sudoer, хакерът може да получи root права и пълен достъп за изпълнение на всеки зловреден код. Тази уязвимост е локално и дистанционно използваема и се класифицира като критичен риск от експлоатация.
Тази уязвимост беше насочена към вниманието на CoreSecurity SDI Corporation през май и оттогава бе разгледана в препоръка, публикувана на уебсайта на охранителната фирма. Издадена е и актуализация за SoftNAS. От потребителите се изисква да надстроят своите системи до последната версия: 4.0.3, за да смекчат последиците от неупълномощена атака на злонамерен код.
