برای آسیب‌پذیری اجرای کد از راه دور (RCE) روی دستگاه‌های ذخیره‌ساز متصل به شبکه‌ی QNAP که سیستم مدیریت ویدئوی Surveillance Station را اجرا می‌کنند، یک کد اکسپلویت PoC روی اینترنت منتشر شده است. این آسیب‌پذیری با شناسه‌ی CVE-2020-2501، یک مشکل بافر اوورفلو است که در دستگاه‌های QNAP NAS وجود دارد که نسخه‌های 5.1.5.4.2 و 5.1.5.3.2 از Surveillance Station را اجرا می‌کنند.
در توصیه‌نامه‌ای که توسط این تامین‌کننده‌ی تایوانی منتشر شده آمده است:
«یک آسیب‌پذیری بافر اوورفلو گزارش شده است که مربوط به دستگاه‌های QNAP NAS است که سیستم Surveillance Station را اجرا می‌کنند. اگر این آسیب‌پذیری اکسپلویت شود، مهاجمان را قادر می‌کند که کدهای متفرقه را روی این دستگاه‌ها اجرا کنند.»
در ادامه این توصیه‌نامه ذکر شده که این آسیب‌پذیری در این نسخه‌ها برطرف شده است:
Surveillance Station 5.1.5.4.3 (and later) for ARM CPU NAS (64bit OS) and x86 CPU NAS (64bit OS)
Surveillance Station 5.1.5.3.3 (and later) for ARM CPU NAS (32bit OS) and x86 CPU NAS (32bit OS)
آسیب‌پذیری‌های موجود در شبکه‌ی خود را پیش از هکرها بیابید:
این نقص ممکن است از طریق مهاجمان، از راه دور و بدون امکان شناسایی، و با هدف اجرای کدهای گوناگون روی یک دستگاه آسیب‌پذیر اکسپلویت شود. این آسیب‌پذیری اولین بار توسط یک محقق مستقل اعلام شد و جزییات آن به صورت عمومی اعلام نشد؛ ولی این در طی هفته‌ی گذشته یک بنیاد امنیتی به نام SSD Secure Disclosure جزییات بیشتری از این مشکل فراهم کرد و یک کد اکسپلویت PoC برای آن منتشر کرد.
در گزارش منتشرشده توسط SSD Secure آمده است:
«QNAP NAS به کمک کارکرد Local Display سیستم Surveillance Station می‌تواند مانیتورینگ و پخش ویدئو را انجام داده و مانیتورینگ ویدئویی را به صورت زنده و Full HD (1920×1080) با یک نمایشگر HDMI امکان‌پذیر می‌کند. استفاده‌ی غیرایمن از داده‌های کاربر که به دستگاه QNAP NAS ارسال می‌شوند، امکان اکسپلویت برای اجرای کدهای متفرقه (arbitrary code execution) را امکان‌پذیر می‌کند. این اکسپلویت بافر داخلی را اوورفلو می‌کند که توسط پلاگین Surveillance Station استفاده می‌شود.»
مهاجمان می‌توانند با ارسال یک درخواست HTTP دستکاری‌شده و هدفمند به دستگاه QNAP NAS این آسیب‌پذیری را اکسپلویت کنند؛ این اکسپلویت باعث رخ‌دادن یک بافر اوورفلوی داخلی می‌شود که ممکن است به اجرای کدهای غیرمجاز منجر شود.
باآپدیت‌کردن سیستم Surveillance Station به آخرین نسخه‌ی منتشرشده، می‌توان این مشکل را برطرف کرد.
