Es va descobrir un privilegi que elevava la vulnerabilitat d’execució de codi remot a la plataforma de gestió de dades al núvol de SoftNAS Incorporated tal com es descriu a butlletí de seguretat publicat per la pròpia empresa. Es constata que la vulnerabilitat existeix a la consola d’administració web, que permet als pirates informàtics maliciosos executar codi arbitrari amb permisos d’arrel sense passar per la necessitat d’autorització. El problema es presenta particularment a l'script snserv de l'extrem de la plataforma responsable de la verificació i l'execució d'aquestes tasques. L'etiqueta s'ha assignat a la vulnerabilitat CVE-2018-14417 .
El SoftNAS Cloud de CoreSecurity SDI Corporation és un sistema d’emmagatzematge de dades estimulat per la xarxa orientat a l’empresa que proporciona suport al núvol a alguns dels majors proveïdors com Amazon Web Services i Microsoft Azure, alhora que manté una impressionant cartera de clients com Netflix Inc., Samsung Electronics Co Ltd., Toyota Motor Co., The Coca-Cola Co. i The Boeing Co. El servei d’emmagatzematge admet protocols de fitxers NFS, CIFS / SMB, iSCSI i AFP i proporciona el servei d’emmagatzematge i dades de l’empresa més exhaustiu i controlat. solució d’aquesta manera. Aquesta vulnerabilitat, però, augmenta els permisos dels usuaris per permetre a un pirata informàtic remot executar ordres malicioses al servidor de destinació. Com que no hi ha cap mecanisme d'autenticació configurat al punt final i l'script snserv no saneja l'entrada abans de dur a terme l'operació, el pirata informàtic pot seguir sense necessitat de cap verificació de sessió. Com que el servidor web funciona amb un usuari de Sudoer, el pirata informàtic pot obtenir permisos d'arrel i completar l'accés per executar qualsevol codi maliciós. Aquesta vulnerabilitat és localment i remotament explotable i es classifica amb un risc crític d'explotació.
Aquesta vulnerabilitat es va posar en coneixement de CoreSecurity SDI Corporation al maig i des d’aleshores s’ha abordat en un avís publicat al lloc web de la firma de seguretat. També s'ha publicat una actualització per a SoftNAS. Es demana als usuaris que actualitzin els seus sistemes a aquesta última versió: 4.0.3 per mitigar les conseqüències d’un atac de injecció de codi maliciós no autoritzat.
