La divulgation de la vulnérabilité de QNAP se termine en un véritable désordre.

Le spécialiste du stockage en réseau attaché (NAS), QNAP, a révélé et publié des correctifs pour deux nouvelles vulnérabilités, dont l’une est un ‘zero day’ découverte début novembre. La divulgation coordonnée de ces problèmes par la société taïwanaise avec les chercheurs de l’Unité 42 de Palo Alto Networks a cependant entraîné une certaine confusion quant à la gravité du problème de sécurité. QNAP a attribué au CVE-2023-50358 une cote de gravité moyenne de 5,8 sur 10, dont la répartition a révélé qu’il était classé comme une attaque de complexité élevée qui aurait un faible impact en cas d’exploitation réussie. L’évaluation de l’Unité 42, en revanche, était tout à fait différente : « Ces vulnérabilités d’exécution de code à distance affectant les dispositifs IoT présentent une combinaison de faible complexité d’attaque et d’impact critique, ce qui en fait une cible irresistible pour les acteurs malveillants. En conséquence, protéger les dispositifs IoT contre de telles menaces est une tâche urgente. » L’Office fédéral allemand de la sécurité des informations (BSI) a également publié aujourd’hui une alerte d’urgence, avertissant que des exploits réussis pourraient entraîner des « dommages majeurs » et encourageant les utilisateurs à appliquer rapidement les correctifs.