QNAP: Aktuelle Sicherheitslücke bedroht Millionen Nutzer – Sofortiges Handeln erforderlich (Januar 2022)

Qnap TS251b Testbericht-1
Qnap TS251b Testbericht-1

Der NAS-Hersteller QNAP rät derzeit allen Nutzern zum sofortigen Handeln und zum aufspielen von Sicherheitsupdates. Durch die aktuelle Sicherheitslücke könnten alle Daten des Systems verschlüsselt werden oder gar der komplette Zugriff auf die Daten abhanden kommen. Ich weise sonst nie auf Sicherheitsupdate hin, hier sollte man jedoch mit einem QNAP NAS schnellstmöglich handeln.

Wenn ein Hersteller von Netzwerktechnik oder NAS-Produkten eine Info mit „Ergreifen Sie sofortige Maßnahmen zur Sicherung von QNAP NAS!“ oder auf englisch „Take Immediate Actions to Secure QNAP NAS“ sollte mal aber ganz schnell die Ohren spitzen. Wenn sowas in einer Spam-Mail steht ist das etwas anderes, aber hier geht es um eine korrekte Warnung eines Herstellers, der nun die Nutzer auf das aktuelle Problem aufmerksam macht.


Lasche Kennwörter und NAS öffentlich erreichbar? Sofort handeln!

Konkret betrifft es fast alle Modelle der Serie, die durch eine zu „lasche“ Einstellung in den Netzwerkeinstellungen zum Problem werden können.

Auf der einen Seite können sich Angreifer aus dem Internet auf den Systemverwaltungsdienst mit einer externen IP-Adresse anmelden. Hier wird durch sogenannte Brute-Force-Angriffen das Kennwort solange ausprobiert, bis es korrekt erraten worden ist. Als zweiten Step werden meist die Daten auf den NAS verschlüsselt und eine Lösegeldforderung in Bitcoin gefordert. Mittlerweile warnt sogar die Polizei vor diesem Problem.


Angebot WD Elements™ Portable externe Festplatte 5 TB (USB 3.0-Schnittstelle, Plug-and-Play, kompakt und leicht) schwarz
Angebot Seagate IronWolf 4 TB interne Festplatte, NAS HDD, 3.5 Zoll, 5900 U/Min, CMR, 64 MB Cache, SATA 6 GB/s, silber, 3 Jahre Data Rescue Service, Modellnr.: ST4000VNZ08
Angebot SanDisk Ultra 3D SSD 1 TB interne SSD (SSD intern 2,5 Zoll, stoßbeständig, 3D NAND-Technologie, n-Cache 2.0-Technologie, 560 MB/s Übertragungsraten) Schwarz

Letzte Aktualisierung am 23.01.2022 um 09:23 Uhr / Affiliate Links / Bilder von der Amazon Product Advertising API


Das müssen QNAP Besitzer jetzt tun!

Als erstes solltest du nun über den Security Counselor prüfen, ob das System bereits ein Risiko darstellt. Sollte hier jetzt die NAS ein Problem wie oben beschrieben darstellen, wird folgender Hinweis genannt:

'Der Systemverwaltungsdienst kann von einer externen IP-Adresse über die folgenden Protokolle direkt erreicht werden: HTTP'.

Dann helfen zwei Schritte.


Portweiterleitungsfunktion deaktivieren
Step 1

Dann solltest du schleunigst die Portweiterleitungsfunktion im Router deaktivieren. Gehe hier bitte in die Verwaltungsoberfläche des Routers z.B. in der Fritzbox und schalte die Portweiterleitung im NAS aus. Diese sind im Regelfall Port 8080 und Port 433.

Hinweis: Damit ist dein NAS nicht mehr „offen“ aus dem Internet erreichbar. Geht aber trotzdem!


UPnP Funktion der QNAP-NAS ausschalten!
Step 2

Auch sollte für das NAS die UPnP-Funktion deaktiviert werden. Damit verhindert das NAS eine automatische Öffnung von Ports. Gehe hierzu unter myQNAPCloud auf das OTS Menü und klicke auf „Auto Router Configuration“ und nimm den Haken bei „Enable UPnP Port forwarding“ raus. Auf Deutsch heißen die Punkte „Automatische Router-Konfiguration“ und deaktivieren Sie „UPnP-Portweiterleitung aktivieren“.


Verwende starke Passwörter
Verdammt nochmal!

Ich sage es hier im Blog oft genug. Verwende bitte sichere Passwörter. Nutze am besten kryptische Kombinationen oder benutze einen Passwortmanager. Dann passieren Passwörter wie „Passwort123“ oder sowas nicht. Kostenlose Passwortmanager gibt es wie Sand an Meer. Meine Empfehlungen sind Bitwarden oder LastPass. Auch 1Password ist eine Alternative.

Wenn der Angreifer nun auch ein leichtes Kennwort erraten muss, ist das verschlüsseln ein Kinderspiel. Nehmt sichere Kennwörter und nicht bei jedem Dienst das gleiche. Mit Zahlen, Großbuchstaben und Sonderzeichen – am besten gemischt!

QNAP stellt eine auch eine ausführliche Anleitung bereits, die es in englischer Sprache hier zum nachlesen gibt: QNAP: Take Immediate Actions to Secure QNAP NAS

Letzte Aktualisierung am 23.01.2022 um 08:53 Uhr / Affiliate Links / Bilder von der Amazon Product Advertising API

Veröffentlicht in QNAPMarkiert mit

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.