Un privilegiu care ridică vulnerabilitatea de execuție a codului la distanță a fost descoperit în platforma de gestionare a datelor din cloud a SoftNAS Incorporated, așa cum este subliniat într-un buletin de securitate publicat chiar de companie. Se constată că vulnerabilitatea există în consola de administrare web, care permite hackerilor rău intenționați să execute cod arbitrar cu permisiuni root, ocolind nevoia de autorizare. Problema se prezintă în special în scriptul snserv endpoint din cadrul platformei responsabile de verificarea și executarea unor astfel de sarcini. Eticheta a fost alocată vulnerabilității CVE-2018-14417 .
SoftNAS Cloud al CoreSecurity SDI Corporation este un sistem de stocare a datelor stimulat de rețea orientat spre întreprindere, care oferă asistență cloud pentru unii dintre cei mai mari furnizori precum Amazon Web Services și Microsoft Azure, menținând în același timp un portofoliu impresionant de clienți precum Netflix Inc., Samsung Electronics Co . Ltd., Toyota Motor Co., The Coca-Cola Co. și Boeing Co. Serviciul de stocare acceptă protocoalele de fișiere NFS, CIFS / SMB, iSCSI și AFP și asigură cel mai complet și mai controlat serviciu de stocare și date al întreprinderii soluție în acest mod. Cu toate acestea, această vulnerabilitate ridică permisiunile utilizatorilor pentru a permite unui hacker la distanță să execute comenzi rău intenționate pe serverul țintă. Deoarece nu există un mecanism de autentificare configurat în punctul final și scriptul snserv nu igienizează intrarea înainte de a efectua operațiunea, hackerul este capabil să urmeze fără a fi nevoie de nicio verificare a sesiunii. Întrucât serverul web operează pe un utilizator Sudoer, hackerul poate obține permisiuni de root și acces complet pentru a executa orice cod rău intenționat. Această vulnerabilitate este exploatabilă atât local, cât și de la distanță și este clasificată la un risc critic de exploatare.
Această vulnerabilitate a fost adusă în atenția CoreSecurity SDI Corporation în luna mai și de atunci a fost abordată într-un aviz publicat pe site-ul firmei de securitate. De asemenea, a fost lansată o actualizare pentru SoftNAS. Utilizatorii sunt rugați să-și actualizeze sistemele la această versiune mai recentă: 4.0.3 pentru a atenua consecințele unui atac neautorizat de injectare de cod rău intenționat.
