QNAP đã phát hành các bản vá bảo mật cho nhiều lỗ hổng CVE trong ứng dụng License Center của mình. Các lỗ hổng này có thể cho phép kẻ tấn công truy cập thông tin nhạy cảm hoặc gây gián đoạn dịch vụ trên các thiết bị NAS bị ảnh hưởng. Việc không cập nhật bản vá kịp thời có thể dẫn đến những rủi ro bảo mật nghiêm trọng cho hệ thống.
Tổng quan về các lỗ hổng CVE trong QNAP License Center
Các vấn đề bảo mật được theo dõi dưới mã định danh CVE-2025-52871 và CVE-2025-53597. Chúng được công bố vào ngày 3 tháng 1 năm 2026. QNAP đã đánh giá mức độ nghiêm trọng của các lỗ hổng này là Trung bình (Moderate) và xác nhận rằng chúng đã được giải quyết trong các phiên bản mới nhất.
Các lỗ hổng ảnh hưởng đến License Center 2.0.x, một thành phần được sử dụng để quản lý cấp phép trên các hệ thống QNAP. Mặc dù các lỗi này không được mô tả là các khai thác từ xa không cần xác thực, QNAP lưu ý rằng kẻ tấn công sẽ cần truy cập vào một tài khoản hợp lệ trước khi có thể tận dụng.
Chi tiết các lỗ hổng CVE
CVE-2025-52871: Lỗ hổng Out-of-Bounds Read
CVE-2025-52871 là một lỗ hổng out-of-bounds read. Theo QNAP, nếu một kẻ tấn công từ xa giành quyền truy cập vào một tài khoản người dùng, chúng có thể khai thác lỗ hổng này để lấy cắp dữ liệu bí mật.
- Tác động kỹ thuật: Các vấn đề đọc ngoài giới hạn thường cho phép tiết lộ bộ nhớ không mong muốn.
- Dữ liệu tiềm ẩn: Điều này có thể làm lộ các mã thông báo (tokens), khóa (keys) hoặc các giá trị nhạy cảm khác, tùy thuộc vào những gì được lưu trữ trong bộ nhớ trong quá trình thực thi.
CVE-2025-53597: Lỗ hổng Buffer Overflow
CVE-2025-53597 là một lỗ hổng buffer overflow. QNAP tuyên bố rằng nếu một kẻ tấn công từ xa giành quyền truy cập vào một tài khoản quản trị viên, chúng có thể khai thác nó.
- Tác động kỹ thuật: Lỗ hổng này có thể dẫn đến việc sửa đổi bộ nhớ hoặc gây lỗi quá trình (crash processes).
- Hậu quả: Điều này tiềm ẩn nguy cơ gây ra sự mất ổn định hoặc tấn công từ chối dịch vụ (Denial-of-Service – DoS) trên các hệ thống bị ảnh hưởng.
Các yếu tố rủi ro và khuyến nghị
Vì các lỗ hổng CVE này yêu cầu truy cập tài khoản hợp lệ, các yếu tố rủi ro chính bao gồm:
- Đánh cắp thông tin đăng nhập: Kẻ tấn công có thể sử dụng các kỹ thuật như lừa đảo (phishing) để chiếm đoạt tài khoản.
- Mật khẩu yếu: Việc sử dụng mật khẩu không đủ mạnh làm tăng nguy cơ tài khoản bị xâm phạm.
- Cổng quản trị bị lộ: Nếu cổng quản trị NAS tiếp xúc trực tiếp với internet mà không có lớp bảo vệ bổ sung, nguy cơ bị tấn công sẽ tăng lên đáng kể.
Các tổ chức và người dùng cá nhân đang chạy License Center 2.0.x cần cập nhật ngay lập tức. Điều này đặc biệt quan trọng nếu thiết bị NAS có thể truy cập được từ internet hoặc được chia sẻ giữa nhiều người dùng. Thực hiện cập nhật là bước quan trọng để giảm thiểu rủi ro bảo mật.
Quy trình cập nhật bản vá bảo mật
QNAP đã khắc phục các lỗ hổng này trong License Center 2.0.36 và các phiên bản mới hơn. Để bảo vệ hệ thống khỏi những lỗ hổng CVE này, việc cập nhật là bắt buộc.
Các bước cập nhật License Center
Để triển khai bản vá bảo mật, hãy làm theo các bước sau:
- Truy cập giao diện quản lý: Đăng nhập vào giao diện quản lý QTS hoặc QuTS hero với quyền quản trị viên.
- Điều hướng đến App Center: Từ menu hệ thống, điều hướng đến App Center.
- Tìm kiếm ứng dụng: Trong App Center, sử dụng chức năng tìm kiếm để xác định vị trí License Center.
- Tiến hành cập nhật: Chọn ứng dụng và nhấp vào Cập nhật (Update). Xác nhận quá trình cập nhật khi được nhắc để hoàn tất.
QNAP đã ghi nhận Coral là đơn vị đã báo cáo các vấn đề này. Thông tin chi tiết có thể được tìm thấy trong khuyến nghị bảo mật chính thức của QNAP: QSA-25-52.
Ví dụ lệnh CLI (nếu áp dụng)
Mặc dù giao diện người dùng đồ họa (GUI) là phương pháp cập nhật chính thức, trong một số trường hợp, người dùng có kinh nghiệm có thể muốn kiểm tra phiên bản qua CLI. Để kiểm tra phiên bản License Center đã cài đặt, bạn có thể thực hiện lệnh sau qua SSH:
# Đăng nhập vào thiết bị QNAP qua SSH
ssh admin@your_qnap_ip
# Kiểm tra phiên bản License Center
display_app_ver LicenseCenter
Nếu phiên bản được hiển thị cũ hơn 2.0.36, việc cập nhật thông qua App Center là cần thiết để áp dụng bản vá bảo mật mới nhất và giảm thiểu các mối đe dọa mạng.
