Neue Firmware 4.1.1 b1101 Arm und X86 gesichtet.

    Hi @all,


    hab gerade bei QNAP Deutschland neue Firmware Versionen für Arm und X86 entdeckt.


    Version 4.1.1 b1101


    z.B. für:


    TS-419PII
    TS-251
    TS-670


    Beispiel Log.



    Viel Spaß damit


    Gruß


    Micha

    Einmal editiert, zuletzt von dr_mike () aus folgendem Grund: Quote hinzugefügt.

    Alter Verwalter.....


    - Fixed a security issue of potential data breach (POODLE) by disabling SSL.


    Hier wird also SSL schlichtweg abgeschaltet, statt die Sicherheitslücke zu beheben...


    OK - wenn ich also an meinem Auto ein fehlerhaftes Türschloß habe, baue ich einfach die ganze Tür aus und fahre Buggy (offen). ;)


    LG

    Vorallem es als "Fixed" zu definieren kommt einem April-Scherz gleich.
    Solange man das NAS nicht zum Internet zugänglich gemacht hat, muß man nichts zu befürchten,
    aber wenn jemand das Update installiert und danach kein Zugriff auf NAS über das Internet bekommt,
    fängt die Fehlersuche an, da wahrscheinlich wenige die zusätzlichen Informationen zur Firmware durchlesen.

    *ironie an* ist ja noch gut, sie könnten doch auch zur generellen Vermeidung von Lücken das Einschalten der Nas verhindern *ironie aus*


    Einerseits verstehe ich die aktuelle Lösung, da QNAP so erstmal das Ausnutzen der Lücke verhindert, bis Sie letztendlich nen echten Fix haben, wobei da zu beachten ist, dass nicht jeder, jeden Tag auf der QNAP Site nach neuen Firmware Versionen nachprüft ob eine neuere Firmware Version vorhanden ist. Gehe ich von mir aus, so laufen meine Nas´en vor sich hin und ich schaue auch nicht immer ob es was neues gibt und gestern bin auch nur durch Zufall darauf gestoßen dass es eine neuere gibt.


    Andererseits wäre es, zumindest aus meiner Sicht, sinnvoller gleich eine wirklich gefixte Version zu verteilen.


    Gruß


    Micha

    Zitat von "TheBraini"

    dass nicht jeder, jeden Tag auf der QNAP Site nach neuen Firmware Versionen nachprüft ob eine neuere Firmware Version vorhanden ist


    Dazu könnte QNAP, wenn man die automatische Benachrichtung bei Fehlern aktiviert hat,
    auch das Prüfen auf eine neue Firmware mit sicherheitsrelevanten Bugfixes hinzufügen.
    So wäre man dann immer auf den aktuellen Stand.

    Nicht gleich wettern ohne genau zu wissen, was QNAP tatsächlich gemacht hat. Sicherlich ist die Beschreibung nicht ganz glücklich gewählt aber sie meint genau das, was empfohlen wird. ---> http://www.heise.de/security/m…-Angriffe-ab-2424327.html
    Richtiger wäre der Beschreibungstext gewesen, wenn da gestanden hätte

    Zitat

    - Fixed a security issue of potential data breach (POODLE) by disabling SSLv3.


    Es wurde in dem Fix nur das veraltete SSLv3 Protokoll diabled. Somit kann die von Poodle genutzte Sicherheitslücke durch erzwungenes Fallback auf SSLv3 nicht mehr ausgenutzt werden.


    SSL ist in der neuen FW-Version nach wie vor aktiv. ;)


    apache-ssl.conf (alt):

    Code
    .... SSLEngine onSSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!SSLv2:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUMSSLCertificateFile "/etc/stunnel/stunnel.pem"....


    apache-ssl.conf (neu):

    Code
    ....
SSLEngine on
SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!SSLv2:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM
SSLProtocol All -SSLv2 -SSLv3
SSLCertificateFile "/etc/stunnel/stunnel.pem"
....
    Zitat von "dr_mike"

    Richtiger wäre der Beschreibungstext gewesen, wenn da gestanden hätte


    Das, werter Herr Kollege, muss man als Anwender nicht wissen und auch nicht erst herausfinden.
    Wenn QNAP unfähig ist, korrekte Aussagen zu treffen, muss man sich nicht über's Wettern wundern. ;)


    LG

    Auch ich habe die Firmware gestern Abend zufällig entdeckt, und da ich sonst nichts zu tun hatte, habe ich meine NAS auch gleich aktualisiert. Als ich das mit dem Fix las war MIR sofort klar, dass die den Fallback auf SSLv3 meinten.
    Meine NAS läuft so wie es sein soll.

    Zitat von "dr_mike"

    ist in der neuen FW-Version nach wie vor aktiv. ;)


    apache-ssl.conf (alt):

    Code
    .... SSLEngine onSSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!SSLv2:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUMSSLCertificateFile "/etc/stunnel/stunnel.pem"....


    apache-ssl.conf (neu):

    Code
    ....
SSLEngine on
SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!SSLv2:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM
SSLProtocol All -SSLv2 -SSLv3
SSLCertificateFile "/etc/stunnel/stunnel.pem"
....


    dr_mike:
    Ist es möglich, das SSLv3 auch in älteren Firmware-Versionen (4.0.7 oder 4.1.1 Build 1003) auszuschalten? Sollte doch gehen, wenn ich die apache-ssl.conf mit WinSCP runter lade, editiere (mit Notepad++) und anschließend wieder hoch schiebe. Wo liegt die denn drin? Unter /etc/ oder wo anders?

    Zitat von "GreyAngel"


    Wenn QNAP unfähig ist, korrekte Aussagen zu treffen, muss man sich nicht über's Wettern wundern. ;)



    Noch einen zum Thema "korrekte Aussage":


    Ich habe bei einem neu aufgesetzten 469 beim Einwählen den Hinweis auf die 1101 bekommen.
    Oder "Versionshinweis" steht aber noch die 1003...

    Die wievielte 4.1.1 ist das inzwischen eigentlich!? Ich habe aufgehört zu zählen... :roll: :roll: :roll: