تم العثور على QNAP QVR Security Client 5.1 عرضة للإلغاء في كلمة مرور الحافظة DoS

نظام QNAP QVR للمراقبة. أمن QNAP

اكتشف لويس مارتينيز ثغرة أمنية في رفض كلمة المرور المحلية في QNAP QVR Professional Video Management Solution Client 5.1.1.30070 على Windows 10 Pro x64 es. تم العثور على الثغرة الأمنية لإرجاع استجابة رفض الخدمة عند إدخال كلمة مرور الحافظة. تتسبب هذه الثغرة الأمنية في تعطل البرنامج مما يمنعه من أداء الوظائف والخدمات التي من المفترض أن يقوم بها المستخدم. لم يتم تعيين رمز CVE للثغرة الأمنية حتى الآن ولم يتم إصدار تصحيح تخفيف أو تحديث لحل المشكلة.

ال QNAP QVR الإصدار 5.1 client هو نظام إدارة فيديو احترافي للحصول على لقطات أمان عالية الدقة وعين السمكة ، يمكن الوصول إليها لعرضها كلها في نافذة واحدة. يتيح نظام QVR للمستخدمين إدارة ومراقبة العديد من الكاميرات التي يمكن التعرف عليها عبر بروتوكول الإنترنت في عرض مباشر من خلال متصفح الويب في الوقت الفعلي. يسمح العميل للمستخدمين بالتحكم وعدم استخدام الكاميرات المحيطية PTZ والثابتة وعين السمكة 360 لإبقاء عين دقيقة ومرنة على المشاهد في متناول اليد. تعمل ميزة التسجيل الذكي على زيادة دقة الفيديو المنقولة عند تشغيل الإنذارات ، ويحدد وضع التشغيل البديهي نقطة الاستغاثة في لقطة مسجلة ، وتحفظ ميزة التسجيل المزدوج اللقطات بدقة 30 إطارًا في الثانية محليًا على الرغم من أن النطاق الترددي للإنترنت المحدود قادر فقط على نقل VHD 5fps في الوقت. من خلال الاستفادة من واجهة المستخدم الشاملة هذه ، يعد نظام QNAP QVR نظام أمان شائعًا مدمجًا في العديد من المتاجر والمنازل والمكاتب لسهولة الوصول التي يخدمها.

وفقًا لـ Luis Martinez ، إذا تم تنفيذ الخطوات التالية ، يمكن للمستخدم إعادة إنتاج كلمة المرور الخاصة برفض تعطل الوصول. يتطلب هذا أولاً تشغيل كود python 'python QNap_QVR_Client_5.1.1.30070.py' (ملف نصي عادي يتكون من 279 حرفًا) ثم فتح ملف QNap_QVR_Client_5.1.1.30070.txt لنسخ المحتوى إلى الحافظة. بعد ذلك ، افتح QVR.exe> ​​عنوان IP في 10.10.10.1 / 80 ، أدخل اسم المستخدم كـ 'admin' والصق الحافظة في مربع حوار كلمة المرور. الضغط على موافق ثم يعطل النظام. يحدث هذا لأن كلمة المرور التي تم إدخالها طويلة جدًا.

نظرًا لأن هذه ثغرة أمنية محلية ، يصبح الأمر خطيرًا إذا كانت بيانات اعتماد المستخدم غير محمية جيدًا أو إذا كان النظام مصابًا ببرامج ضارة قادرة على رفع الأذونات وتشغيل أوامر عشوائية لتنفيذ هذا الإجراء.

عند الاستماع من مايكل وانج ، المدير الفني للعلاقات العامة للتسويق في QNAP ، تم إبلاغنا أن كلمة مرور الحافظة DoS هي 'خطأ في برنامج الكمبيوتر فقط دون أي مقاطعة من جانب خادم المراقبة أو مخاوف تسرب البيانات الحساسة.' لقد تأكدنا من أنه 'أثناء تعطل عميل الكمبيوتر الشخصي (لمشاهدة فيديو المراقبة) ، يعمل خادم المراقبة (للتسجيل ، الموجود بشكل منفصل على منتج HW) كالمعتاد ولا تحدث أي انقطاع.'