QNAPQVRセキュリティクライアント5.1がクリップボードパスワードDoSに対して脆弱であることが判明

QNAPQVR監視システム。 QNAPセキュリティ

ローカルパスワード拒否の脆弱性は、Windows 10 Pro x64es上のQNAPQVRProfessionalビデオ管理ソリューションクライアント5.1.1.30070でLuisMartinezによって発見されました。この脆弱性は、クリップボードのパスワードが入力されたときにサービス拒否応答を返すことが判明しました。この脆弱性により、ソフトウェアがクラッシュし、ユーザーに対して実行することを目的とした機能やサービスを実行できなくなります。現時点では、CVEコードは脆弱性に割り当てられておらず、問題を解決するための緩和策または更新パッチはリリースされていません。

ザ・ QNAPQVRバージョン5.1 クライアントは、高解像度と魚眼レンズのセキュリティ映像用のプロフェッショナルなビデオ管理システムであり、すべてを1つのウィンドウで表示するためにアクセスできます。 QVRシステムを使用すると、ユーザーはWebブラウザーを介してライブビューで複数のIP識別可能カメラをリアルタイムで管理および監視できます。このクライアントを使用すると、ユーザーはPTZ、固定、魚眼360サラウンドカメラを制御してゼロに設定し、手元のシーンを完全かつ柔軟に監視できます。スマートレコーディング機能は、アラームがトリガーされたときに送信されるビデオ解像度を向上させ、直感的な再生モードは、記録された映像の苦痛点を正確に特定し、デュアルレコーディング機能は、限られたインターネット帯域幅がVHD 5fpsしか送信できない場合でも、ローカルでHD30fpsの映像を保存します当時の。この徹底したユーザーインターフェイスの利点により、QNAP QVRシステムは、多くの店舗、家庭、およびオフィスに統合された人気のあるセキュリティシステムであり、アクセスが容易です。

Luis Martinezによると、次の手順を実行すると、ユーザーはパスワードによるアクセス拒否のクラッシュを再現できます。これには、最初にPythonコード「pythonQNap_QVR_Client_5.1.1.30070.py」（279文字のプレーンテキストファイル）を実行してから、QNap_QVR_Client_5.1.1.30070.txtファイルを開いてコンテンツをクリップボードにコピーする必要があります。次に、10.10.10.1 / 80でQVR.exe> IPアドレスを開き、ユーザー名を「admin」として入力し、クリップボードをパスワードダイアログボックスに貼り付けます。 [OK]を押すと、システムがクラッシュします。これは、入力したパスワードが長すぎるために発生します。

これはローカルの脆弱性であるため、ユーザーの資格情報が十分に保護されていない場合、またはシステムがアクセス許可を昇格して任意のコマンドを実行してこの手順を実行できるマルウェアに感染している場合、危険になります。

QNAPマーケティングのテクニカルPRマネージャーであるMichaelWangから聞いたところ、クリップボードのパスワードDoSは、「監視サーバー側の中断や機密データ漏洩の懸念がなく、PC側のソフトウェアのバグにすぎない」とのことでした。 「PCクライアント（監視ビデオを表示するため）がクラッシュしている間、監視サーバー（記録用、HW製品に別途あります）は通常どおり実行され、中断は発生しません。」