QNAP NAS İstifadəçiləri Təhlükədə: “License Center”dəki Zəifliklər Məxfi Məlumatları Risk Altına Atır

Şəbəkəyə qoşulmuş yaddaş (NAS) həllərinin aparıcı istehsalçısı QNAP, son yayımladığı təhlükəsizlik bülletenində “License Center” tətbiqində aşkar edilmiş bir neçə zəifliyin aradan qaldırıldığını elan edib. Bu zəifliklər, xüsusilə etibarlı istifadəçi hesabı əldə edən hücumçulara həssas məlumatları ələ keçirməyə və ya sistemlərin normal işini pozmağa imkan verirdi.

Kiber Təhlükəsizlik mütəxəssisləri tərəfindən mülayim (Moderate) səviyyəli risk kimi qiymətləndirilsə də, bu boşluqların nəticələri QNAP NAS cihazlarında kritik məlumatların sızması və ya xidmətdən imtina (Denial-of-Service – DoS) ola bilər. Problem “License Center” tətbiqinin 2.0.x versiyalarına təsir edirdi və CVE-2025-52871, CVE-2025-53597 identifikasiya nömrələri ilə qeydə alınıb.

Hücumun baş verməsi üçün ən kritik şərt, hücumçunun öncəliklə qanuni bir istifadəçi hesabına daxil olmasıdır. Bu amil, zəif parolların, etibarın oğurlanmasının və ya internetə açıq admin portallarının əsas risk amili olduğunu göstərir.

Texniki Detallar

Aşkar edilmiş hər iki zəiflik 3 yanvar 2026-cı ildə ictimaiyyətə açıqlanmışdır və hər ikisi məlumat sızması və ya sistemin sabitliyinin pozulması potensialına malikdir. Bu zəifliklər QNAP sistemlərində lisenziyaların idarə edilməsi üçün istifadə olunan License Center 2.0.x komponentinə təsir edir.

• CVE-2025-52871: Out-of-bounds Read Zəifliyi

  Bu zəiflik, yaddaşın ayrılmış sərhədlərindən kənarda məlumatların oxunmasına imkan verən bir növ ‘sərhəddən kənar oxuma’ (Out-of-bounds Read) problemidir. QNAP-ın məlumatına görə, uzaqdan qoşulan hücumçu etibarlı bir istifadəçi hesabı əldə etdikdə, bu boşluqdan istifadə edərək sistem yaddaşında saxlanılan məxfi məlumatları (o cümlədən tokenləri, şifrələmə açarlarını və digər həssas dəyərləri) əldə edə bilər. Nəticədə, tam məlumat sızması baş verə bilər.

• CVE-2025-53597: Buffer Overflow Zəifliyi

  Bu, ‘bufer daşqını’ (Buffer Overflow) adlanan klassik bir zəiflik növüdür. Uzaqdan qoşulmuş hücumçu administrator hesabı əldə etdikdə, bu boşluqdan yararlanaraq yaddaşı dəyişdirə bilər və ya prosesləri sıradan çıxara bilər. Bu isə birbaşa sistemin qeyri-sabitliyinə və ya xidmətdən imtinaya (DoS) səbəb olur. Kötü niətlə idarə olunan yaddaş dəyişikliyi bəzi hallarda kodun icrasına (Remote Code Execution) də yol aça bilər.

Təhlükənin Miqyası

QNAP bu zəiflikləri ‘Mülayim’ səviyyədə qiymətləndirsə də, NAS cihazlarının adətən kritik şəxsi və ya korporativ məlumatları saxladığını nəzərə alsaq, bu risk yüksək təhlükə hesab edilməlidir. Xüsusilə administrativ giriş tələb olunduğu üçün, istifadəçilərin etimadnamələrinin qorunması daha da vacib hala gəlir.

Əsas risk faktorları:

• Zəif Parollar: Ən sadə hücum vektorudur.
• Etibarın Oğurlanması: Fişinq və ya kənar proqramlar vasitəsilə admin parollarının ələ keçirilməsi.
• İnternetə Açılmış Portallar: NAS idarəetmə interfeysinin FireWall arxasında qorunmadan birbaşa internetə çıxışının təmin edilməsi.

Tövsiyələr və Həll Yolları

QNAP bu problemləri License Center 2.0.36 və daha yeni versiyalarda aradan qaldırıb. QNAP sistemlərində License Center 2.0.x istifadə edən bütün təşkilatlar və ev istifadəçiləri, xüsusilə də NAS cihazları internetdən əlçatan olarsa, təcili olaraq yeniləmə etməlidirlər.

Təcili Yeniləmə Addımları:

1. QTS və ya QuTS hero idarəetmə interfeysinə daxil olun və administrator hüquqları ilə autentifikasiya edin.
2. Sistem menyusundan “App Center”ə keçin.
3. App Center-də axtarış funksiyasından istifadə edərək “License Center” tətbiqini tapın.
4. Tətbiqi seçin və “Yenilə” (Update) düyməsinə klikləyin.
5. Prosesin tamamlanması üçün təsdiqləyin.

Əlavə Təhlükəsizlik Tövsiyələri:

* Bütün NAS istifadəçi hesabları üçün güclü, unikal parollar istifadə edin.
* İmkan daxilində İki Faktorlu Autentifikasiyanı (2FA) aktivləşdirin.
* Administrasiya interfeysinin internetə birbaşa açılmasından çəkinin. Uzaqdan giriş üçün VPN kimi qorunan kanallardan istifadə edin.

Nəticə

QNAP, aşkar olunan bu zəifliklərin aradan qaldırılmasında operativlik nümayiş etdirmişdir. Təhlükəsizlik problemlərini hesabat edən ‘Coral’ tədqiqatçısına təşəkkür edən şirkət, istifadəçilərini kiber hücumlardan qorunmaq üçün yeniləmələri gecikdirməməyə çağırır. Xaker.az komandası olaraq, bütün sistem adminlərini və fərdi istifadəçiləri mütəmadi olaraq yeniləmələri tətbiq etməyə və NAS cihazlarının təhlükəsizlik konfiqurasiyalarını ciddi şəkildə yoxlamağa təşviq edirik.