Après QTS, c’est au tour de QuTS hero d’avoir le droit à sa mise à jour… en Beta pour le moment. Cette nouvelle version améliore grandement les fonctionnalités proposées aux NAS, sans pour autant tout révolutionner. Il faudra être patient, encore un peu, pour voir arriver la version 6. QNAP QuTS hero h5.2 Dans un monde (du stockage) en constante évolution, QNAP continue de mettre à jour régulièrement ses NAS. QuTS hero est une sorte de QTS avec un système de fichier ZFS. Ce serait très réducteur de s’arrêter là, car de nombreuses fonctionnalités découlent de ce choix. QNAP a […] Lire la suite :QNAP QuTS hero h5.2 est disponible en Beta
Dans ce tutoriel, nous allons apprendre à récupérer l'UID et le GID d'un utilisateur sur un NAS Synology. Vous allez me dire : pourquoi faire ? Et bien, sachez que ceci est utile lorsque l'on utilise un NAS Synology pour exécuter des containers Docker et que l'on souhaite faire tourner un container avec un compte utilisateur spécifique.
Avant de vous expliquer comment récupérer l'UID et le GID sur un NAS, voyons déjà à quoi correspondent ces deux valeurs.
L'UID pour User Identifier est un numéro unique associé à chaque utilisateur d'un système Linux. Il permet d'identifier l'utilisateur sans utiliser le nom et ne peut pas être modifié. Cette information est stockée dans le fichier "/etc/passwd".
Le GID pour Group Identifier est un numéro unique associé à chaque groupe d'un système Linux. Le GID permet d'identifier un groupe sans utiliser le nom et ne peut pas être modifié. Cette information est stockée dans le fichier "/etc/group".
Si un utilisateur ou un groupe est supprimé puis recréé, il n'aura pas le même UID / GID, car ce numéro est incrémenté à chaque fois.
Remarque : le compte super-utilisateur "root" hérite toujours de l'UID "0" et du GID "0".
III. Récupérer l'UID et le GID d'un utilisateur
Pour récupérer l'UID et le GID d'un utilisateur, nous devons utiliser la ligne de commandes SSH.
La première étape consiste à se rendre dans "Panneau de configuration", puis "Terminal & SNMP" afin de cocher l'option "Activer le service SSH". Ensuite, validez, et à la fin de l'opération, vous pouvez décocher cette option pour éviter d'exposer ce service inutilement si vous n'en avez pas l'usage.
Désormais, nous devons nous connecter en SSH à notre NAS. Vous pouvez utiliser une application telle que PuTTY, mais ce n'est pas obligatoire. Si vous utilisez Windows 10 ou Windows 11, il y a un client SSH natif pour vous permettre de vous connecter à votre NAS.
Ouvrez une invite de commande et saisissez la commande "ssh" selon le modèle suivant :
ssh <nom d'utilisateur>@<adresse ip>
Par exemple, pour se connecter sur le NAS avec l'adresse IP "192.168.1.200" avec le compte "itconnect" :
ssh itconnect@192.168.1.200
Si vous avez besoin de préciser un numéro de port spécifique (autre que le port 22), ajoutez cette option en ajustant le numéro de port :
ssh itconnect@192.168.1.200 -p 222
Saisissez votre mot de passe et vous devriez avoir accès au shell du système DSM. Attention, le compte que vous utilisez pour vous connecter doit être membre du groupe "administrators" de DSM (c'est le cas du compte créé nativement lors de l'installation du NAS).
Une fois que vous avez accès à votre NAS en ligne de commande, vous devez utiliser la commande "id".
Pour récupérer l'UID et le GID du compte avec lequel vous êtes connecté en SSH :
id
Pour récupérer l'UID et le GID d'un autre compte existant sur votre NAS (exemple avec le compte nommé "docker")
id docker
Ici, nous pouvons voir que l'UID de cet utilisateur est "1027" tandis que son GID est "100". Ici, c'est bien le groupe principal auquel appartient l'utilisateur qui est retourné, car il peut être membre de plusieurs groupes.
Il ne reste plus qu'à faire bon usage de ces deux informations !
IV. Conclusion
Grâce à cette astuce, vous êtes en mesure de récupérer l'UID et le GID d'un compte utilisateur de votre NAS Synology ! Ces informations étant différentes d'un NAS à un autre et d'un utilisateur à un autre, c'est une manipulation à connaître.
Dans ce tutoriel, nous allons apprendre à déployer l'application Homer sur un NAS Synology, à l'aide d'un conteneur Docker ! Homer est un projet open source destiné à l'auto-hébergement dont l'objectif est de vous permettre de déployer une page d'accueil aux allures de tableau de bord sur votre propre serveur !
Sur cette page statique, vous allez pouvoir ajouter tous les éléments et liens que vous jugez nécessaire ! Par exemple, vous pouvez lister vos sites favoris, ajouter des liens vers vos applications préférées, ou encore vers vos équipements ! Il y a aussi la possibilité de remonter des informations à partir de services personnalisés, c'est-à-dire d'autres applications (Prometheus, AdGuard Home, Portainer, PiHole, Proxmox, etc...).
Homer peut s'avérer utile dans de nombreux scénarios et cette page est facilement personnalisable grâce à un fichier de configuration au format YAML.
Avant de créer le conteneur, nous allons préparer un répertoire pour stocker ses données. Au sein du répertoire "docker", nous allons créer le répertoire "homer" afin de maintenir la logique habituelle : un répertoire par conteneur. Ce qui donne :
Puis, dans le répertoire "homer", nous allons créer un répertoire "data" qui sera utilisé pour stocker les données applicatives d'Homer. Ce qui donne :
Désormais, nous pouvons lancer l'application Container Manager (Docker) pour créer un nouveau conteneur à partir d'un code de configuration Docker Compose.
Dans "Container Manager", cliquez sur "Projet" puis sur "Créer". Nommez ce projet "homer" puis indiquez le répertoire "/docker/homer" comme chemin pour ce conteneur. Autrement dit, l'option "Chemin" doit avoir pour valeur "/docker/homer".
En ce qui concerne la "Source", choisissez l'option "Créer un fichier docker-compose.yml". Une zone de texte apparaît : qu'allons-nous écrire ici ? Nous allons récupérer le code du fichier "docker-compose.yml" disponible sur GitHub officiel pour ensuite l'adapter.
Désormais, nous allons devoir modifier deux options : le chemin vers le répertoire local pour mapper le répertoire "/www/assets" du conteneur vers "/volume1/docker/homer/data", et les informations sur le compte utilisateur à utiliser pour exécuter le conteneur. Ici, l'utilisateur "docker" de mon NAS est spécifié en indiquant son UID "1027" et son GID "100".
Ici, nous ne modifions pas le mappage sur le numéro de port, donc l'application sera accessible sur le port 8080. Vous pouvez l'adapter si besoin. De plus, l'option "INIT_ASSETS=1" permet d'ajouter les fichiers de démonstrations à l'application, ce qui évite de partir de zéro.
Remarque : pour le nom de l'image, vous pouvez ajouter le tag "latest" pour récupérer la dernière image Docker de ce projet associée à ce tag. Ce qui donne la valeur "b4bz/homer:latest" pour la directive "image".
Une fois le fichier Docker Compose prêt, vous pouvez continuer jusqu'à la fin pour créer le conteneur. L'image "b4bz/homer" sera téléchargée à partir du Docker Hub et utilisée pour exécuter le conteneur.
Voilà, le conteneur Docker "homer" est actif !
Dès à présent, nous pouvons accéder à l'interface de l'application :
http://<adresse IP du NAS>:8080
Vous devriez obtenir ceci :
Désormais, nous allons évoquer la personnalisation de cette page d'accueil.
III. Personnaliser la page d'accueil Homer
Pour modifier la page d'accueil d'Homer, nous allons éditer le fichier suivant :
/docker/homer/data/config.yml
Pour l'éditer directement depuis l'interface de DSM, installez l'application "Éditeur de texte" depuis le "Centre de paquets". Ceci permet d'ajouter l'option "Ouvrir avec un éditeur de texte" dans le menu contextuel de DSM afin d'éditer les fichiers en ligne.
Le fichier de configuration s'ouvre. Il s'agit d'un fichier au format YAML, donc il faut respecter rigoureusement l'indentation, les espaces, etc... Pour ne pas générer de problèmes de syntaxes. L'édition est assez simple puisque le code est facilement lisible.
Vous pouvez charger vos images dans le répertoire "data/tools" de votre conteneur pour les appeler en tant que logo dans Homer. Par ailleurs, Homer s'appuie sur la bibliothèque FontAwesome pour charger les icônes, donc utilisez cette page pour rechercher un logo à intégrer sur une entrée (par exemple "fas fa-hdd" pour l'icône en forme de disque dur).
À titre d'exemple, voici le code du nœud « services » qui permet d'obtenir le résultat présenté ci-dessus avec les deux blocs "Mes sites favoris" et "Mes NAS".
# Services
# First level array represent a group.
# Leave only a "items" key if not using group (group name, icon & tagstyle are optional, section separation will not be displayed).
services:
- name: "Mes sites favoris"
icon: "fas fa-cloud"
items:
- name: "IT-Connect"
logo: "assets/tools/Logo-IT-Connect.png"
subtitle: "Tutoriels, cours, actualités - Informatique"
tag: "tutos"
keywords: "tutos"
url: "https://www.it-connect.fr"
target: "_blank" # optional html a tag target attribute
- name: "Mes NAS"
icon: "fas fa-hdd"
items:
- name: "NAS Synology DS220+"
icon: "fas fa-hdd"
subtitle: "https://192.168.1.200:5001"
tag: "nas"
keywords: "nas"
url: "https://192.168.1.200:5001"
target: "_blank" # optional html a tag target attribute
- name: "NAS Synology DS923+"
icon: "fas fa-hdd"
subtitle: "https://192.168.1.201:5001"
tag: "nas"
keywords: "nas"
url: "https://192.168.1.201:5001"
target: "_blank" # optional html a tag target attribute
Quand vous effectuez une modification, enregistrez le fichier et rafraichissez la page web pour voir ce que ça donne. Homer étant une page d'accueil statique, elle est très rapide à charger et très légère.
L'intégration des services personnalisés s'effectue aussi dans ce fichier. Référez-vous à la documentation afin de copier-coller le bloc de configuration correspondant à votre service :
En suivant ce tutoriel, vous devriez être en mesure d'installer Homer sur votre NAS Synology à l'aide de Docker ! C'est une application pratique et facile à personnaliser que l'on peut utiliser pour se créer une page d'accueil pour son Home Lab, ou, pour créer un portail d'entreprise léger, self-hosted, avec un ensemble de liens utiles.
Il y a des alternatives à Homer, notamment Heimdall, mais aussi Homarr qui est plus complet, mais aussi beaucoup plus lourd.
Pour aller plus loin, je vous recommande de publier cette application avec le reverse proxy de DSM, ce qui permettra d'avoir un certificat TLS et d'utiliser un nom de domaine. Référez-vous à ce tutoriel :
Le fabricant de NAS vient de mettre en ligne la version Beta de son logiciel interne QTS 5.2. Loin d’être une révolution, il faudra attendre QTS 6, cette nouvelle version reste cependant très intéressante. Regardons de plus près son contenu… QNAP QTS 5.2 Beta Un peu plus d’un an après la Beta de QTS 5.1, QNAP nous revient avec une nouvelle version QTS 5.2 Beta. Cette nouvelle version du logicielle interne devrait arriver pour tous en juillet, si tout va bien. Selon QNAP : « QTS 5.2.0 apporte de nombreuses nouvelles fonctionnalités importantes pour renforcer la sécurité, améliorer les performances et […] Lire la suite :QNAP QTS 5.2 est disponible en Beta
Vous utilisez un NAS QNAP ? Veillez à ce qu'il soit à jour, car plusieurs failles de sécurité critiques ont été corrigées ! Elles représentent une menace sérieuse pour votre NAS et vos données. Faisons le point.
En mars dernier, nous avons déjà publié un article au sujet de 3 failles de sécurité critiques découvertes dans le système d'exploitation utilisé par les NAS QNAP. Il s'avère que 3 autres vulnérabilités sont désormais mentionnées dans ce bulletin de sécurité et qu'une autre alerte mentionne 2 failles de sécurité découvertes à l'occasion d'une édition de la compétition de hacking Pwn2Own. L'exploitation de ces vulnérabilités peut permettre à un attaquant d'exécuter des commandes sur le NAS, ce qui pourrait lui permettre de compromettre l'appareil.
Commençons par évoquer les trois failles de sécurité critiques évoquées sur cette page :
CVE-2024-27124 :
Cette vulnérabilité d'injection de commande pourrait permettre à des utilisateurs d'exécuter des commandes sur le système du NAS, à distance, via le réseau. Elle est associée à un score CVSS de 7.5 sur 10.
CVE-2024-32764 :
Cette vulnérabilité donne accès à une fonction critique du système sans authentification et pourrait permettre à des utilisateurs standards (sans privilèges élevés) d'accéder à certaines fonctions et de les utiliser, à distance. Ceci est lié au service myQNAPcloud Link. Elle est associée à un score CVSS de 9.9 sur 10.
"Un défaut de contrôle de l’authentification dans myQNAPcloud Link permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’accéder à certaines fonctionnalités critiques.", peut-on lire sur le site du CERT Santé.
CVE-2024-32766 :
Cette vulnérabilité d'injection de commande pourrait permettre à un attaquant non authentifié d'exécuter des commandes arbitraires sur le système du NAS, à distance, via le réseau. Elle est associée à un score CVSS de 10 sur 10.
En plus de ces 3 vulnérabilités, voici 2 autres failles de sécurité importantes patchées il y a quelques jours par QNAP :
CVE-2023-51364, CVE-2023-51365 :
Il s'agit de deux vulnérabilités de type "path transversal" permettant à un attaquant de lire le contenu de fichiers protégés, et potentiellement, d'exposer des données sensibles via le réseau. Elles sont associées à un score CVSS de 8.7 sur 10.
Quelles sont les versions affectées ?
Voici la liste des versions affectées, pour chaque système :
QTS 5.x et QTS 4.5.x
QuTS hero h5.x et QuTS hero h4.5.x
QuTScloud c5.x
myQNAPcloud 1.0.x
myQNAPcloud Link 2.4.x
Comment se protéger ?
Pour vous protéger de l'ensemble de ces failles de sécurité, vous devez utiliser l'une de ces versions :
QTS 5.1.4.2596 build 20231128 et supérieur
QTS 4.5.4.2627 build 20231225 et supérieur
QuTS hero h5.1.3.2578 build 20231110 et supérieur
QuTS hero h4.5.4.2626 build 20231225 et supérieur
QuTScloud c5.1.5.2651 et supérieur
myQNAPcloud 1.0.52 (2023/11/24) et supérieur
myQNAPcloud Link 2.4.51 et supérieur
En complément, veillez à utiliser un mot de passe robuste sur vos comptes d'accès au NAS (activez le MFA également), sauvegardez régulièrement vos données et limitez les accès au NAS notamment l'exposition de l'appareil sur Internet.
Aujourd’hui, nous testons un nouveau produit : le TerraMaster F4-424. Il s’agit d’un NAS 4 baies animé par un processeur Intel N95 et épaulé par 8 Go de RAM DDR5. Il dispose de 2 emplacements pour des SSD NVME M.2 pouvant servir de cache ou de volume de stockage. Du côté de la connectique, il dispose de 2 ports USB 3.2 Gen 2 , 1 sortie HDMI et 2 ports réseau 2,5 Gb/s. Mais derrière sa fiche technique, que vaut réellement ce nouveau boitier ? Est-il vraiment à la hauteur ? Entrons immédiatement dans le vif du sujet… Test TerraMaster […] Lire la suite :Test du NAS TerraMaster F4-424
Depuis quelques jours, Synology a publié une nouvelle version du logiciel interne pour ses NAS : DSM 7.2.1 Update 5. Bien que cette mise à jour ne soit pas cruciale pour votre boitier réseau, il m’a été demandé d’en rédiger un article. Je vous rassure, il n’y a pas d’urgence à installer cette version… DSM 7.2.1 Update 5 Je vais être honnête, compte tenu du contenu de cette mise à jour (et surtout parce qu’elle est tombée pendant mes vacances), je n’avais pas l’intention d’en rédiger un article. Cependant, un lecteur me l’a demandé, donc… voici le contenu de […] Lire la suite :Synology DSM 7.2.1 Update 5
Asustor vient de publier une nouvelle version de son logiciel interne, l’ADM 4.3. Les NAS compatibles sont les suivants : AS31, AS32, AS40, AS61, AS62, AS63, AS64, Nimbustor, Nimbustor Gen2, Drivestor, Drivestor Lite, Drivestor Pro, Drivestor Pro Gen2, Lockerstor, Lockerstor Gen2, Lockerstor Pro et Flashstor. Cette mise à jour se concentre principalement sur la stabilité plutôt que sur de nouvelles fonctionnalités. Asustor ADM 4.3 Asustor nous sort une nouvelle version « majeure » de son système pour ses NAS. Regardons un peu en arrière le cycle des dernières versions : ADM 4.0 : octobre 2021 ADM 4.1 : juillet 2022 ADM 4.2 […] Lire la suite :Asustor ADM 4.3 est disponible
Si vous utilisez un NAS D-Link, vous devriez lire cet article avec attention : un chercheur en sécurité a fait la découverte d'une porte dérobée codée en dur dans le firmware de nombreux modèles ! Le problème, c'est que ce sont des modèles en fin de vie. Faisons le point sur ce problème de sécurité !
Derrière la référence CVE-2024-3273 se cache une faille de sécurité associée à deux problèmes de sécurité. Tout d'abord, il y a une porte dérobée accessible par l'intermédiaire d'un compte utilisateur codé en dur, avec le nom d'utilisateur "messagebus" et sans mot de passe. Puis, un paramètre nommé "system" permet d'effectuer de l'exécution de commande. Cela signifie que si un NAS vulnérable est exposé sur Internet, un attaquant peut exécuter des commandes sur l'appareil, à distance.
Netsecfish, à l'origine de la découverte de cette vulnérabilité, a indiqué qu'elle était présente dans le script "/cgi-bin/nas_sharing.cgi" de certains NAS D-Link.
"L'exploitation réussie de cette vulnérabilité pourrait permettre à un attaquant d'exécuter des commandes arbitraires sur le système, ce qui pourrait conduire à un accès non autorisé à des informations sensibles, à la modification des configurations du système ou à des conditions de déni de service", précise-t-il.
Quels sont les modèles affectés ?
Plusieurs modèles de NAS D-Link sont directement affectés par cette vulnérabilité et ce problème de sécurité important. Voici la liste :
DNS-320L Version 1.11, Version 1.03.0904.2013, Version 1.01.0702.2013
DNS-325 Version 1.01
DNS-327L Version 1.09, Version 1.00.0409.2013
DNS-340L Version 1.08
La mauvaise nouvelle, c'est que ce sont des appareils en fin de vie et D-Link n'effectue plus la moindre prise en charge sur ces modèles. Dans un article mis en ligne sur son site officiel, D-Link recommande à ses utilisateurs d'arrêter d'utiliser ces modèles et de les remplacer par des modèles plus récents. En attendant, il est recommandé de ne pas exposer ces appareils sur Internet.
Plus de 92 000 NAS exposés et vulnérables
D'après un scan réalisé par le chercheur en sécurité Netsecfish, il y a plus de 92 000 NAS D-Link vulnérables à la CVE-2024-3273 et qui sont exposés sur Internet. Autrement dit, ils sont à la portée d'un pirate informatique. La compromission d'un NAS D-Link peut servir d'accès initial à un attaquant...
Les utilisateurs de NAS D-Link sont actuellement confrontés à une nouvelle menace majeure. Un chercheur en sécurité a découvert 2 failles sur plusieurs modèles de NAS : porte dérobée avec compte en dur et injection via une requête HTTP GET. 92 000 NAS seraient vulnérables à ces failles et toujours accessibles depuis Internet. D-Link recommande d’acheter un nouveau NAS… NAS D-Link = danger ! Le chercheur, nommé Netsecfish, a détecté un problème dans le script ‘/cgi-bin/nas_sharing.cgi’, affectant la composante gestionnaire de requêtes HTTP GET. Les deux principales failles à l’origine du problème, répertoriées sous CVE-2024-3273, sont une porte dérobée avec […] Lire la suite :Alerte Sécurité : Vulnérabilité critique dans les NAS D-Link
En janvier, Ugreen annonçait son intention de se lancer sur le marché des NAS. En février, nous apprenions qu’un Kickstarter permettrait aux fabricants de lancer la production des boitiers… et c’est désormais chose faite. Il est possible de souscrire en ligne, mais les commandes sont réservées aux marchés américain et allemand. Le Kickstarter a déjà atteint les 4,5 millions de dollars… malgré quelques craintes Ugreen NASync, un pas de plus Comme indiqué précédemment, Ugreen a choisi de recourir au financement participatif plutôt que d’utiliser ses propres fonds. Cela lui évite de prendre des risques financiers… mais lui permet également de […] Lire la suite :Ugreen NASync, le kickstarter démarre très fort
Vous avez certainement entendu parler de la vulnérabilité découverte dans XZ Utils. Naturellement, vous vous questionnez : est-ce que mon NAS est concerné ? Synology et QNAP ont répondu et leurs NAS… XZ Utils et NAS Pendant que certains cherchaient les œufs en chocolat, d’autres apprenaient avec effroi l’existence d’une vulnérabilité (backdoor)dans XZ Utils. XZ Utils, c’est un ensemble de logiciels gratuits permettant de compresser des fichiers sans perdre de qualité, accessible en ligne de commandes. On y retrouve des programmes comme lzma et xz. XZ Utils est utilisé par de nombreux systèmes : Linux, FreeBSD et même Windows. Ce […] Lire la suite :NAS et vulnérabilité dans XZ Utils
Le week-end dernier, j’ai aidé un utilisateur du Forum de NAS à installer TeslaMate sur son Synology. Vous allez voir, c’est relativement simple, cependant il y a quelques petites subtilités. C’est pour cette raison que je vous propose aujourd’hui ce guide. TeslaMate et NAS Synology TeslaMate est comme un carnet de bord numérique gratuit et open source que vous pouvez installer sur un NAS, un Raspberry Pi, etc. L’application fonctionne en interrogeant l’API de Tesla et en enregistrant les données renvoyées dans une base de données. L’application permet d’offrir des visualisations détaillées et de nombreuses statistiques sur l’utilisation de la […] Lire la suite :Installer TeslaMate sur un NAS Synology en 5 minutes
Les NAS offrent de nombreuses options. Cependant, il peut arriver que l’on souhaite profiter de nouvelles fonctionnalités. Les NAS ASUSTOR permettent d’ajouter des applications depuis l’App Central (boutique d’applications). Et si vous ne trouvez pas votre bonheur, ce qui peut arriver dans de rares cas, il est également possible d’installer une application manuellement (.apk). Voici comment procéder… Installation d’applications sur NAS Asustor Les NAS proposent de nombreuses fonctionnalités. Si certaines vous manquent, il existe une boutique d’applications très facile à utiliser : App Central. Dans de rares cas, il peut être nécessaire d’installer manuellement une application ou une mise à […] Lire la suite :Asustor : Installer manuellement une application
QNAP vient d’annoncer l’arrivée d’un nouveau boitier réseau 2 baies : TS-216G. Si ce modèle vous rappelle curieusement le TS-433, ce n’est pas qu’une simple impression… Ils partagent de nombreuses similitudes, mais le TS-216G dispose de 2 emplacements pour les disques. Mais alors, pourquoi ne pas l’avoir simplement nommé TS-233 ? On vous explique pourquoi… QNAP TS-216G Le QNAP TS-216G est un NAS 2 baies revêtu d’un plastique blanc avec le coté gauche (en façade) gris. S’il ressemble au TS-433, vous remarquerez rapidement que la ressemblance ne s’arrête pas là. En ce qui concerne ses dimensions, ce nouveau boitier affiche […] Lire la suite :QNAP lance un nouveau NAS : TS-216G
Si vous utilisez un NAS QNAP, vous devez installer la dernière mise à jour du système dès que possible ! Le fabricant taïwanais vient de corriger 3 failles de sécurité critiques ! Faisons le point.
QNAP a mis en ligne un bulletin de sécurité faisant référence à trois vulnérabilités découvertes dans ses différents systèmes : QTS, QuTS hero, QuTScloud, et myQNAPcloud. Il s'agit de systèmes utilisés par les produits de la marque, notamment les NAS.
Il est à noter que la faille de sécurité CVE-2024-21899 peut être exploitée à distance, sans être authentifié. De plus, cette vulnérabilité peut être exploitée facilement, et sans interaction de la part d'un utilisateur.
Voici ce que précise QNAP au sujet de cette faille de sécurité critique : "Si elle est exploitée, cette vulnérabilité de type improper authentication pourrait permettre aux utilisateurs de compromettre la sécurité du système via le réseau. - Même si ce n'est pas explicitement indiqué, nous pouvons imaginer que cette vulnérabilité permet de compromettre le NAS, ou d'accéder à des données.
Les deux autres vulnérabilités, associées aux références CVE-2024-21900 et CVE-2024-21901, sont aussi considérées comme critiques. La première permet d'exécuter des commandes à distance, tandis que la seconde est une injection SQL qu'un attaquant peut également exploiter à distance. Toutefois, bien qu'elles soient critiques, le risque d'exploitation est moins élevé, car il faut être authentifié pour exploiter ces deux vulnérabilités.
Quelles sont les versions affectées ?
Voici la liste des versions affectées, pour chaque système :
QTS 5.1.x et QTS 4.5.x
QuTS hero h5.1.x et QuTS hero h4.5.x
QuTScloud c5.x
myQNAPcloud 1.0.x
Comment se protéger ?
Pour vous protéger de ces failles de sécurité, vous devez utiliser l'une de ces versions :
QTS 5.1.3.2578 build 20231110 et supérieur
QTS 4.5.4.2627 build 20231225 et supérieur
QuTS hero h5.1.3.2578 build 20231110 et supérieur
QuTS hero h4.5.4.2626 build 20231225 et supérieur
QuTScloud c5.1.5.2651 et supérieur
myQNAPcloud 1.0.52 (2023/11/24) et supérieur
Pour le moment, rien n'indique que ces vulnérabilités sont exploitées par des cybercriminels dans le cadre d'attaques. Néanmoins, la faille de sécurité CVE-2024-21899 pourrait intéresser les pirates dans les prochaines semaines, notamment, car elle s'exploite à distance et sans être authentifié. Étant donné qu'il y a de nombreux NAS exposés sur Internet, ceci représente un réel risque.
En janvier dernier, nous vous avons présenté en exclusivité la prise en main du Synology BeeStation. Ce nouveau produit est destiné à tous ceux qui recherchent simplicité et facilité d’utilisation. Le BeeStation est désormais disponible à la vente avec un disque dur de 4 To intégré. Son prix est de 240€. Un NAS qui ne dit pas son nom Le Synology BeeStation est un boitier réseau avec un disque dur offrant une capacité d’environ 3,5 To de stockage. Le fabricant le présente comme un Cloud personnel, pour ne pas dire un NAS. En effet, le terme NAS a une connotation […] Lire la suite :Synology BeeStation : un NAS simplifié à l’extrême
QNAP vient d’émettre plusieurs alertes concernant ses systèmes QTS, QuTS hero ou QuTScloud. Le fabricant annonce que plusieurs failles de sécurité sévères ont été détectées et qu’il faut rester vigilant. Heureusement, il existe une solution : mettre à jour son NAS ! Vulnérabilités NAS QNAP Plusieurs vulnérabilités ont été signalées dans certaines versions du système d’exploitation QNAP et de ses applications. Voici les détails : CVE-2024-21899 : Cette vulnérabilité concerne une authentification incorrecte. Si elle est exploitée, elle pourrait permettre à des utilisateurs malveillants de compromettre la sécurité du système via le réseau. CVE-2024-21900 : Cette faille est liée à une injection de commandes. […] Lire la suite :Plusieurs vulnérabilités dans les NAS QNAP
Aujourd’hui, je vous propose une vidéo d’un vingtaine de minutes pour vous présenter Surveillance Station de Synology. Surveillance Station est une solution fiable et intuitive qui permet de protéger son entreprise ou son domicile. Voici les différents fonctionnalités abordées dans cette vidéo (environ 20 minutes) : Installation de Surveillance Station Découverte de l’interface Surveillance Station Installation d’une caméra IP manuellement Installation d’une caméra IP de façon automatique Paramétrage et modification d’une caméra IP Surveillance Station Client sous Windows ou macOS Mise en place de la détection de mouvement (via la caméra) Découverte du Centre de contrôle Enregistrement et stockage Centre […] Lire la suite :Découverte de Synology Surveillance Station