PHP 的安全問題也可能威脅到您的 NAS 裝置,但目前並非每位廠商都能進行補丁
https://www.techradar.com/pro/security/php-security-issues-could-also-threaten-your-nas-device-but-not-every-vendor-is-able-to-patch-just-yetphp2shell 漏洞的影響不僅僅是網站和網頁應用程式
- 關鍵的 PHP2Shell 漏洞也會影響網際網路曝光的 NAS 裝置以及基於 PHP 的 Docker 工作負載
- 主要廠商仍持續發布修補程式,部分 Synology、QNAP 及其他系統已外洩
- 研究人員呼籲立即更新、消除公眾曝光,以及僅使用VPN的遠端存取
網站和網路伺服器顯然並非唯一受到 php2shell 漏洞影響的產品——網路附屬儲存(NAS)裝置也面臨風險——更糟糕的是,儘管在野外存在嚴重漏洞,一些最受歡迎的製造商尚未發布修補程式。
Apple Insider蘋果內部人士的研究指出,此漏洞也影響了 NAS 製造商所維護的軟體,以及獨立於 Docker 容器中運行的應用程式,而可透過公共網際網路接觸的 NAS 裝置也面臨風險。
特別令人擔憂的是,一些最大的 NAS 製造商表示正在研發解決方案,但工作仍有待完成。例如,Synology 發布了一項新的安全公告,指出 PHP 版本 7.3 - 8.4、Mail Station 和 Synology 日曆都受到影響,並補充表示已更新 PHP 套件以解決相關缺陷。運行 Synology NAS 產品的業者應前往公司的套件中心,下載存檔,並尋找更新的 PHP 8.2 和 PHP 8.4 套件。
雙重風險
該公司還強調,DiskStation 管理器中已安裝的 PHP 套件與 PHP 元件之間存在差異,並補充表示其內建的 PHP 不會受到公共網際網路的影響,因此極有可能不會面臨風險。
另一家主要的 NAS 製造商 QNAP 已確認推出多項受影響產品,包括 QTS 5.2.11 及更早版本、QTS 6.1.9、QuTS 英雄與 QuTScloud,以及 Note Station 3。
該公司表示目前正在進行修復,但未提供該補丁何時可取得的時間表。截至目前,尚無野外攻擊的證據,但該公司確實建議從開放網際網路上移除這些設備,停用不必要的通訊埠轉接、UPnP 以及遠端存取服務。
Apple蘋果內部人士發現,其他製造商目前也正在研發解決方案,包括 TerraMaster、Ugreen 和 Asustor。該出版物指出:「NAS 的業主應檢查其製造商的安全通知以及特定型號的可取得更新。」
對 NAS 擁有者而言,風險有兩倍,因為 PHP operating system存在於作業系統和 Docker 容器中。
在 Docker 中執行基於 PHP 服務的人員,應檢查其容器映像是否執行受影響的 PHP 版本,並儘快更新。
此外,還存在運行已達到使用壽命的舊設備的問題,因此不再支援補丁。安全專家同意,這些措施應被排除在公眾進入之外。應封鎖未經請求的入站連線,且該裝置應僅可在本地存取。遠端存取應透過安全的 VPN 實現,而非轉發 NAS 管理埠。