NAS 专家 QNAP，我们之前在这些页面中提到过他们的苦难，已经发布了一个高严重性的安全公告(在新标签中打开)警告可能允许攻击者在受影响的存储设备上获得远程代码执行权限的缺陷。
错误(在新标签中打开)使用 PHP 并影响运行 QTS 5.0.x 及更高版本、QTS 4.5.x 及更高版本、QuTS hero h5.0.x 及更高版本、QuTS hero h4.5.x 及更高版本以及 QuTScloud c5.0.x 和之后。它已经在 QTS 5.0.1.2034 build 20220515 及更高版本以及 QuTS hero h5.0.0.2069 build 20220614 及更高版本中进行了修补。
问题似乎出在处理 FPM 的 PHP 部分，并不是一个新漏洞。它在理论上已经知道了三年，但直到现在它才被证明是可以利用的。FPM 是一个 FastCGI 进程管理器，网络服务器将请求传递给它，它可以根据需要生成和终止 PHP 进程。如果以特定方式设置，可以操纵此 FPM 将数据通过分配的缓冲区写入为 FCGI 协议数据保留的空间，从而打开远程代码执行的可能性。
请注意，这与 QNAP 最近遭遇Deadbolt 勒索软件的不幸经历完全不同(在新标签中打开). QNAP 在所有 NAS 供应商中出现如此多问题的原因在于它非常受欢迎，并且在发布安全建议和部署补丁时采取了认真的方法。鉴于该漏洞尚未针对所有 QNAP 操作系统进行修补，因此已将其指定为“正在修复”。