Synology en QNAP waarschuwen voor kritieke Netatalk-kwetsbaarheden

Synology en QNAP waarschuwen gebruikers voor kritieke Netatalk-kwetsbaarheden in de besturingssystemen voor hun nas-apparaten. Beide bedrijven werken aan updates die de kwetsbaarheden moeten verhelpen.

Synology schrijft op zijn website dat er meerdere kwetsbaarheden in Netatalk zitten, waardoor hackers op afstand 'gevoelige informatie kunnen verkrijgen en mogelijk willekeurige code kunnen uitvoeren'. De kwetsbaarheden zitten daarmee in verschillende versies van Synology's DiskStation Manager-besturingssysteem, VS Firmware 2.3 en Synology Router Manager 1.2.

Netatalk is een opensource implementatie van Apple Filing Protocol, waarmee Unix-achtige systemen als een AppleShare-server kunnen functioneren, die benaderd kunnen worden door macOS-computers. De beveiligingsfouten zijn opgelost in Netatalk-versie 3.1.13 en Synology werkt momenteel aan updates om deze patch door te voeren op kwetsbare nas-systemen. Het bedrijf heeft DSM 7.1 al geüpdatet. Aan patches voor de andere versies wordt momenteel nog gewerkt, zo zegt het bedrijf.

QNAP meldde eerder deze week dat verschillende versies van zijn QTS-software kwetsbaar zijn voor de Netatalk-beveiligingsfouten. Dat geldt ook voor bepaalde versies van QuTS hero en QuTScloud c5.0. Het bedrijf heeft QTS 4.5.4 al van een update voorzien en ook dit bedrijf werkt aan patches voor 'alle betrokken QNAP-besturingssysteemversies'. Het bedrijf komt naar eigen zeggen zo snel mogelijk met meer informatie. In de tussentijd kunnen gebruikers het Apple Filing Protocol uitschakelen op hun nas, zegt QNAP.

Nas-fabrikant	Synology	QNAP
Kwetsbaar	DSM 7.1 DSM 7.0 DSM 6.2 VS Firmware 2.3 SRM 1.2	QTS 5.0.x of nieuwer QTS 4.5.4 of nieuwer QTS 4.3.6 of nieuwer QTS 4.3.4 of nieuwer QTS 4.3.3 of nieuwer QTS 4.2.6 of nieuwer QuTS hero h5.0.x of nieuwer QuTS hero h4.5.4 of nieuwer QuTScloud c5.0.x
Uitgebrachte patches (28 april 2022)	DSM 7.1 (7.1-42661-1 of nieuwer)	QTS 4.5.4 (4.5.4.2012 build 20220419 of nieuwer)

Reacties (52)

[Silence]

Is dit iets wat standaard aan staat?

[DeathMaster]

Netatalk is onderdeel van de AFP service en staat, gelukkig, standaard uit.

[kodak]

Het gaat om twee verschillende merken met een groot aantal verschillende producten en firmware versies. Daarvan kan je niet zomaar stellen wat standaard is, omdat standaard bijvoorbeeld slechts gaat om versies van firmware of wel of niet nog ondersteunen. Dus wat verstaan we hier onder standaard? En vooral, waar blijkt uit dat die van toepassing is?

[tweaker2010]

Bij Synology staat het in ieder geval out of the box uitgeschakeld:

In Configuratiescherm > Bestandsservices > SMB/AFP/NFS kunt u AFP-service inschakelen om van Synology NAS een Mac-bestandsserver (AFP-server) te maken.

[GeroldM]

De meeste gangbare concepten van "standaard", lijken mij eerder van toepassing te zijn op configuratie methodes. En deze zijn over het algemeen niet aan bepaalde versies/firmware gebonden.

Een voorbeeld:
Een firewall heeft over het algemeen alleen de hoogst noodzakelijke protocols en bijbehorende poorten openstaan. Heb je meer poorten/protocollen nodig, dan moet de gebruiker zelf deze maar aanzetten.

Dan maakt het dus niet uit welke firmware/versie er wordt gebruikt. Het staat "standaard" uit.

Er is een overeenkomst met de concepten Strategie en Taktiek. Configuratie hoort dan in Strategie thuis, terwijl firmware/versies bij Taktiek hoort. Simpelweg gesteld: Strategie is het plan, Taktiek is de uitvoering van dat plan.

Ik geloof dat als de meeste Tweakers spreken over "standaard", men dan spreekt over configuratie mogelijkheden in het algemeen, niet over hoe deze mogelijkheden worden uitgevoerd in firmware/versie.

Of ik snap je hele vraag niet, of je vraag heeft je tot overdenken aangezet.

In ieder geval, AFP is een oude netwerk communicatie standaard die niet van toepassing op het overgrote deel van gebruikers die een stuk apparatuur hebben aangeschaft. De fabrikant bouwt de communicatie standaard wel in, want er zijn wel gebruikers, maar schakelt deze per definitie uit.

Welke gebruiker het nodig heeft, die moet maar kundig genoeg zijn om het zelf in te schakelen. Betekent niet dat het probleem niet moet worden opgelost voor de actieve gebruikers van deze communicatie standaard, maar voor het overgrote deel is het niet van belang, want het stond al per definitie uit.

[kodak]

Zoals je kan lezen is het redelijk de vraag van @Silence te lezen of het voor producten van Synology en QNAP standaard aan staat, aangezien het nieuws daarover gaat. Om de vraag dan te beantwoorden valt niet zomaar te verwijzen naar gangbare concepten, omdat het probleem juist is dat die niet zomaar worden toegepast of dat bekend is sinds wanneer. En dat is nu juist heel belangrijk om rekening mee te houden, aangezien het hier om problemen gaat die je als gebruikers waarschijnijk maar liever niet hebt.
Bij een antwoord maakt het dus heel erg uit waaruit blijkt dat het werkelijk standaard aan of uit staat, niet of dat mogelijk kan blijken als bepaalde concepten of andere omstandigheden hopelijk van toepassing zijn.

[itlee]

In ieder geval, AFP is een oude netwerk communicatie standaard die niet van toepassing op het overgrote deel van gebruikers die een stuk apparatuur hebben aangeschaft. De fabrikant bouwt de communicatie standaard wel in, want er zijn wel gebruikers, maar schakelt deze per definitie uit.

Wat een gelul man,.... Ik heb een klant die heeft 30 mac gebruikers en hebben al hun data op een 3618xs staan, ongeveer 40TByte data.,..... Die zitten in een LAN en die halen de hele dag materiaal van en naar de Synology.

AFP is zeker geen oud protocol, t wordt gewoon de dag van vandaag nog gebruikt,....

[L1NO_]

Apple heeft aangegeven dat smb3 de voorkeur heeft en AFP is uitgefaseerd. Het word sterk aanbevolen niet meer te gebruiken. https://www.macworld.com/...e-its-time-to-change.html

[Reactie gewijzigd door L1NO_ op 23 juli 2024 20:37]

[Metten]

AFP wordt door Apple zélf in ieder geval niet meer ondersteund of doorontwikkeld en dat is te merken: M1 Macs hebben in bepaalde gevallen last van ‘strandballen’ als ze via AFP aan een netwerk share hangen. Switchen naar SMB en het is verholpen.

Het kán zijn dat dit in na Big Sur is verholpen maar wij hebben na een switch maar SMB nooit meer teruggekeken

[old_spice]

Wordt het dan niet eens tijd dat jij je klant adviseert om af te stappen van AFP?

[Xirt]

Hier staat meer informatie die aangeeft dat dit alleen in specifieke gevallen een echte vulnerability is:

Notes: This vulnerability only takes effect, if the Apple AFP (Netatalk) protocol is used on devices. In addition, remote exploitation is only possible if the device and its login interface are accessible via the Internet.

Zoals @DeathMaster al aangeeft staat deze service standaard uit .

[Reactie gewijzigd door Xirt op 23 juli 2024 20:37]

[sojab0on]

Staat bii mij wel aan ivm mederen aplle pcs inhuis

Echter is mijn admin omgeving beveiligd met 2fa en niet direct toegangkelijk zefs ssh is niet op default port benaderbaar

Enige manier om extern bij de nas te komen is via een 2fa rproxy pagina

[Phthisicus]

Het zou ook via malware op een geinfecteerde mac kunnen lopen natuurlijk. En MFA is alleen voor de webinterface en niet voor AFP.

Mag ik vragen waarom je nog AFP gebruikt en niet SMB. Zover ik weet gaat Apple binnenkort ook af van AFP en wordt het niet meer ondersteund. Daarnaast is het een vrij oud protocol die potentieel nog wel meer kwetsbaarheden bevat. Ik zou het nooit aanraden om dit in te zetten. Ook niet voor privé.

[trisje]

Het probleem is dat het een fout in de code is, die fout kan dan dus gebruikt worden zonder in the loggen op je nas hebben ze ineens toegang waarvan jij normaal je passwoord en MFA gebruikt . daarom is het voor jouw ook een probleem. al is de drijging natuurlijk minder groot als je deze niet aan internet is gekoppeld en je er bij kan vanaf een andere locatie.

[Reactie gewijzigd door trisje op 23 juli 2024 20:37]

[sojab0on]

hij is niet direct toegangkelijk alle porten zijn zowiezo aangepast management ssh en dergelijken
de web interface saat niet via portforwarding direct op internet.

dan moet je toch eerst de juisten Rpoxy link weten die via de reverse proxy verwijst naar de nas.

k had AFP in gebruik ivm oudere macs die ook backup draaien naar de nas.
en met oudere bedoel ik de echt oudere osx 10.5 en ouder. ivm powermac G4 en ibook G4 en een powermac g5
Oudere versies van timemashine waren nog al picky op afp en apple protocolen voor timemashine bsckups.

Voor meeste standaard dingen (Windows,Plex) draaid smb als file sharing

[Backspin]

Hier staat meer informatie die aangeeft dat dit alleen in specifieke gevallen een echte vulnerability is:

Dit is een oude vulnerability, uit 2019.
Voor de huidige vulnerability is het me nog niet duidelijk of je NAS ook via internet kwetsbaar is als alleen de DSM webinterface 'naar buiten' open staat. Het lijkt me niet, maar een bevestiging van Synology zou welkom zijn.

[Reactie gewijzigd door Backspin op 23 juli 2024 20:37]

[Metten]

Er is inderdaad nogal een verschil of je via poorten 80, 443 en 5000 kwetsbaar bent of dat de aanval alleen direct op de AFP poort (548) waar de Netatalk daemon op draait gedaan kan worden. Die laatste zet je namelijk niet zo snel open van buiten.

[Hugo!]

Je hebt wel door dat dit een totaal andere kwetsbaarheid is toch? Artikel komt uit 2019.
Neemt niet weg dat ik verwacht dat dit voor deze kwetsbaarheid hetzelfde is.

[kodak]

Zelfs als het standaard uit 'hoort' te staan gaat het er om of (en sinds wanneer) die standaard van toepassing is, en zelfs als die niet van toepassing is gaat het om wat de praktijk is.

Aangezien 'standaard' vaak niet zomaar over alle software of hardware gaat lijkt het dus verstandiger om niet uit te gaan van wat je hoopt of volgens een ander het geval zou zijn, maar na te gaan wat werkelijk het geval is.

[Jonathan-458]

Nog geen QTS5.x fix schijnbaar.

[Xirt]

Mogelijk werkt dit hetzelfde als bij Synology: de roll-out van de fix gaat in fases en dit wordt in de release notes als volgt aangegeven:

The update is expected to be available in all regions shortly. If you want to update your DSM to this version now, please click here.

Zo heb ik zelf de fix ook nog niet bechikbaar (bij automatische updates).

[Jonathan-458]

Viel gewoon op omdat ze QTS4.x wel direct op de download pagina hebben staan maar QTS5.x nog niet, andere kant ze doen nu vrijwel alleen maintenance updates voor QTS4.

[beerse]

Dat ze in de beschrijving nog de versies 4.3 en zo noemen houdt in dat ze er serieus mee bezig zijn. Het is mogelijk gevonden in 4.5 en daar als eerste opgelost. Blijkt dat te werken, dan zullen de aanpassingen/verbeteringen door druppelen naar de andere versies.

Mijn idee: Gebruik het (netatalk, apple-afs) niet, zet het uit en je bent veilig. Gebruik je het wel, hou dan de patch/update in de gaten, zeker als je jas aan internet gekoppeld is.

[Artje]

Speelt dit ook bij een van Netgear?

[beerse]

Zoals in andere draadjes te lezen: netatalk is onderdeel van afp. Dat is onderdeel van het protocol om apple-apparatuur met apple protocollen te koppelen. Het wordt ook wel apple-afp genoemd.

Zoals met de meeste zaken: Gebruik je een functie niet: Zet het uit, dan heb je er ook geen last van (en anderen hebben er geen profijt van).

Kan je het in de instellingen van een netgear (of andere nas of router) niet vinden, dan zit het er mogelijk/hopelijk niet in.

[bzzzt]

AFP is anders behoorlijk legacy spul hoor. Voor file sharing is Apple al veel zomers geleden op SMB/CIFS overgestapt als standaard protocol. Is ook wat makkelijker te koppelen met andere operating systems.
Netgear heeft overigens ook netatalk (net als alle Linux-based dingen die AFP praten denk ik) dus je kan het best aannemen dat je risico loopt.

[kodak]

De vraag van @Artje is nogal ruim en zonder context, zodat er geen simpel ja of nee op te antwoorden valt. @beerse lijkt zo vriendelijk te zijn om op te merken wanneer de toepassing er mogelijk niet in zit en er hopelijk niet in zit. Dat sluit op geen enkele manier uit dat het er mogelijk alsnog in zit, en die bewering is ook niet gedaan.

[J_van_Ekris]

Kun je deze service op Qnap niet gewoon uitzetten?

[Xm0ur3r]

Ja, uit artikel:

In de tussentijd kunnen gebruikers het Apple Filing Protocol uitschakelen op hun nas, zegt QNAP.

Dit heb ik ook gedaan want ik heb toch geen Apple apparaten in huis.

[Metten]

Zelfs al heb je die wel: Apple ondersteunt/ontwikkelt AFP al jaren niet meer en raadt zelf sindsdien aan gewoon SMB te gebruiken.

[J_van_Ekris]

Dit heb ik ook gedaan want ik heb toch geen Apple apparaten in huis.

Bij mij had ik dat al gedaan, als standaard hardening van mijn server. Als ik het niet gebruik, staat het uit.

[niq]

De Synology link:
https://www.synology.com/...dvisory/Synology_SA_22_06

[LinuX-TUX]

offtopic:
Wilde al een topic opsnorren op GoT om dit te melden, maar kom alleen maar frontpage spel & tikfoutjes tegen en niet iets om dit aan te kaarten (foutieve link in de post, want synology linkt naar qnap )

Snel maar even ingelogd in m'n Synology, even kijken of ik dit asap kan patchen

[svenM]

Je kan de laatste versie downloaden als die beschikbaar is voor je nas : https://www.synology.com/en-global/support/download.

Deze was niet beschikbaar via de autoupdate. Ik stond ook nog een versie achter dus ik heb eerst moeten updaten naar de laatste versie die via autoupdate beschikbaar was en daarna de nieuwste versie manueel updaten.

[Azmodann]

Ik heb het uitgeschakeld, nu kan ik Time Machine niet meer gebruiken

[pietje63]

Kan ook via SMB

[iDEOwen]

Oudere versies van macOS kunnen geen gebruik maken van TimeMachine over SMB, alleen AFP. Dus even kijken welke versie macOS je hebt, en of t wel compatible is. Mocht t wel compatible zijn, dan moet je wellicht nog het 1 en ander (het)configureren op de NAS en Mac

[sypie]

Dus weer inschakelen.

Op het moment dat je NAS niet of zeer beperkt bereikbaar is van buitenaf is het risico echt wel te overzien.

[bzzzt]

Ligt wel een beetje aan je risicoprofiel. Je netwerk staat misschien wel dicht voor de buitenwereld, maar je bent 1 stukje malware wat een reverse shell opstart verwijderd van wijd open. Als je netwerk dan ook nog bezaaid is met apparaten vol met remote root exploits hoop ik toch dat je geen bedrijf runt waar gevoelige gegevens verwerkt worden...

[well0549]

Gewoon op je router VPN inregelen en daar je nas verkeer doorheen tunnelen.

Ben je van een hele hoop narigheid af

[Admiral Freebee]

Ja maar niet alles. Je kan nog altijd malware binnenhalen op een cliënt of je VPN server heeft eens een kritieke kwetsbaarheid. Het blijft toch erg moeilijk om het zo goed als waterdicht te krijgen.

[well0549]

Ik ben in ieder geval volledig verlost van de geblokte op adressen die mijn nas probeerde binnen te komen...

Waren er altijd ongeveer honderd in de maand....

Laatste drie jaar nul

[tweaker2010]

Dat kan je ook prima voorkomen in de Synology Firewall middels GeoIP blocking:
https://mysynology.nl/bep...via-de-synology-firewall/

[well0549]

Ja maar je blijft toch bezig....

Nu staat alles dicht tenzij ik zelf met open VPN naar binnen ga

[GeroldM]

Een firewall die op hetzelfde apparaat draait dat de bescherming nodig heeft, het is beter dan niks. Maar helaas niet veel beter dan dat.

Het is echt 100 keer beter als je een firewall draait op een apart apparaat, liefst fysiek gescheiden, wat gebruik maakt van een ander besturingssysteem (zoals bijvoorbeeld: FreeBSD of OpenBSD) dan het meest gebruikte besturingssysteem in je netwerk (Windows).

De BSD's zijn zowiezo beter geschikt voor het afhandelen van netwerk traffic, zijn ook moeilijker over te nemen en personen moeten nu wel heel veel barrieres slechten om aan je data te prutsen.

Wil niet zeggen dat het niet kan, of dat het zelfs niet gebeurt. Maar voor het grootste deel van het internet is het binnenhengelen van jouw data wel heel veel werk geworden en er zijn genoeg makkelijkere doelwitten, dus word jouw netwerk al gauw vergeten en/of als te omslachtig beschouwd.

Daar kan een lokaalop de machine zelf draainende firewall dus nooit aan tippen, want als de machine toch is geinfecteerd, dan is men al op de machine aanbeland en kan de firewall net zo goed worden gemanipuleerd als de rest van de machine. En dat allemaal onder de neus van de nietsvermoedende gebruiker die zichzelf veilig waant.

[meesje]

DSM 7.1-42661-1 is vannacht om 04:00 uur geïnstalleerd op mijn DS215+. Handig dat deze update al is toegepast.

[Gynnad]

Op de DS214 heb ik hem afgelopen nacht ook gepushed gekregen en automatisch geüpdate.

Had daar zelf ook een mail voor ingesteld, had trouwens ook een notificatie in het systeem zelf.

[vgroenewold]

Ik krijg 0 notificaties via Synology zelf, doen ze daar uberhaupt aan?

[meesje]

De mail was verstuurd vanaf mijn NAS. Ooit jaren geleden ingesteld in DSM.

[mutley69]

Die oude rommel had net als SMB al eeuwen op 't stort moeten liggen!

[Verwijderd]

Langzaam ben ik mijn Qnap NAS aan het leegtrekken en de services aan het overhevelen naar Docker Containers in LXC op een Proxmox NUC server.

Daarna vervang ik de oude schijven voor SSD’s en installeer ik Truenas Scale op de Qnap..

Die remote access van Qnap heb ik heel lang gebruikt, maar staat nu al een paar jaar uit. Heb ipdv op mijn Edgemax Router een VPN server geactiveerd (voor toegang tot mijn hele netwerk).

Kan er ook via Nginx Proxy Manager bij, maar die rule zet ik alleen aan als ik hem echt nodig heb.

Andere oplossing om de NAS veiliger te ontsluiten.
- Teleport.
- Tailscale
- Cloudflare Tunnel

[Reactie gewijzigd door Verwijderd op 23 juli 2024 20:37]