News Qfix 1.0.1: QNAP behebt „Shellshock“-Lücke bei NAS-Systemen

[Parwez]

QNAP hat einen Patch für die am vergangenen Mittwoch bekannt gewordene Sicherheitslücke in der Unix-Shell Bash veröffentlicht, die unter anderem in GNU/Linux und Apples OS X zum Einsatz kommt. QNAPs NAS-Betriebssystem QTS basiert ebenfalls auf Linux und ist von der Shellshock genannten Sicherheitslücke direkt betroffen.

Zur News: Qfix 1.0.1: QNAP behebt „Shellshock“-Lücke bei NAS-Systemen

 

[BrollyLSSJ]

Danke fuer die Info. Ich habe nicht mal das Update auf 4.1.1 mitbekommen.

 

[johnripper]

Wird auch noch nicht per Live Update verteilt.

 

[Stahlseele]

Meine TS-119 läd grade das update, danke für die Info ^^
Ich stelle grade fest, dass ich eine Update-Notiz per Mail bekommen hatte, hab ich aber scheinbar übersehen <.<

 

[VodKen]

Habs per live Update erhalten

 

[DoomSoldier]

habs manuell gleich gefixt - TS221

 

[StardustOne]

Toll, leider gibt es keine detaillierten Informationen wie man das installieren soll und wie man dann auch prüfen kann ob die Version auch tatsächlich installiert ist.

Der Qnap Firmware Check meldet alles sei auf dem neusten Stand, such wenn der Patch nicht installiert ist.

Per Life Update kam da gar nichts, wenn bereits die Firmware 4.1.1 vom 27.09.2014 drauf ist.

Qnap hätte besser eine Firmware 4.1.2 raus gebracht, dann wüsste man auch wenn man den Patch tatsächlich installiert hätte.

 

[LukS]

Meine TS-495 Pro II ist betroffen. Ich hab erst voriger Woche am Dienstag auf 4.1.1 build 0916 upgedatet. Muss ich zu Hause gleich mal den Fix einspielen.
Einen Danke an CB für die News.

 

[DoomSoldier]

einfach das zip file entpacken und die .qfix installieren, als wäre es eine firmare

firmware aktualisieren - durchsuchen - xxx.qfix auswählen - neustart

 

[ElektroVogel]

OT: Kann mit jemand das QNAP TS-112P empfehlen?

 

[solidsatras]

@ElektroVogel
Ohne jetzt eine Diskussion lostreten zu wollen...aber meiner Meinung nach ist QNAP absolut nicht mehr zu empfehlen. Die Software ist nur noch Stückwerk das nach außen gut aussehen soll. Unter der Haube ist alles komplett veraltet, unsicher und schon lange nicht mehr für Produktivumgebungen zu verwenden. Bevor du Geld für irgendwas von QNAP ausgibst, nimm dir 10Min Zeit. Erstelle dir einen wegwerf-account im Forum und lies einfach mal drauf los.

Offene Sicherheitslücken

Falsche Kompatibilitätslisten

Support ist nicht vorhanden. Leute warten seit Wochen und Monaten auf Antworten.
Das Forum wird heftig zensiert. So darf QNAP & issue nicht im selben Satz stehen und lauter so scherze.
Die Forumsuche funktioniert nur selten. Das System für persönliche Nachrichten wurde ohne Ankündigung außer Betrieb gesetzt.

TL;DR: Kauf alles andere, nur kein QNAP

 

[johnripper]

Habs per live Update erhalten

Der Fix wird nicht per Live Update verteilt.

Es muss die FW 4.1.1 B0927 installiert werden und zusätzlich der Fix: http://forum.qnap.com/viewtopic.php?f=142&t=98188.

Ergänzung (3. Oktober 2014)

Toll, leider gibt es keine detaillierten Informationen wie man das installieren soll und wie man dann auch prüfen kann ob die Version auch tatsächlich installiert ist.

Doch hier: Es muss die FW 4.1.1 B0927 installiert werden und zusätzlich der Fix: http://forum.qnap.com/viewtopic.php?f=142&t=98188.

Ergänzung (3. Oktober 2014)

Meine TS-495 Pro II ist betroffen. Ich hab erst voriger Woche am Dienstag auf 4.1.1 build 0916 upgedatet. Muss ich zu Hause gleich mal den Fix einspielen.
Einen Danke an CB für die News.

Zuerst ein FW Update auf 4.1.1 build 0927 UND den Fix: Siehe http://forum.qnap.com/viewtopic.php?f=142&t=98188.

 

[Chromkabel]

Toll, leider gibt es keine detaillierten Informationen wie man das installieren soll...

Zufällig wurde ich heute privat danach gefragt und kann das hier schnell einfügen

Kurzanleitung:

1. Qfinder 4.2.2 starten

- In der Spalte 'Version' steht (nach dem jüngsten FW-Update): 4.1.1 (20140927)
- Rechter Mausklick auf die aufgeblendete Zeile mit deinem NAS -> 'Im Webbrowser öffnen' auswählen...

2. In der Eingabemaske als Administrator einloggen.

3. 'Systemsteuerung' starten und anschließend in der linken Spalte anklicken:

4. 'Systemeinstellungen' -> 'Firmware-Aktualisierung'.

5. Dort in der rechten Spalte Klick auf Register 'Firmware-Aktualisierung'.

6. 'Durchsuchen...' anklicken und zum Speicherort der zuvor heruntergeladenen und entpackten Datei 'Shellshock_1.0.1_all.qfix' navigieren und diese auswählen.

7. Zuletzt Schaltfläche 'System aktualisieren' klicken, um den Patch einzuspielen. Das NAS startet abschließend neu.


Wie oben bereits erwähnt, auf die Reihenfolge achten, d. h. wird der Qfix vor dem aktuellen FW-Update installiert und danach das Update, wird der Patch wieder entfernt und muss nach dem Neustart erneut eingespielt werden.

Gutes Gelingen.

 

[DonBruno]

Ich hab noch nicht mal die Heartbleed Lücke gefixt.. Langsam wirds aber Zeit :-/

 

[johnripper]

Ich hab noch nicht mal die Heartbleed Lücke gefixt.. Langsam wirds aber Zeit :-/

Natürlich!!!
Jedoch ohne die OpenSSL Version zu tauschen (ist jedoch nicht erforderlich).

 

[websurferin83]

@ElektroVogel
Ohne jetzt eine Diskussion lostreten zu wollen...aber meiner Meinung nach ist QNAP absolut nicht mehr zu empfehlen. Die Software ist nur noch Stückwerk das nach außen gut aussehen soll. Unter der Haube ist alles komplett veraltet, unsicher und schon lange nicht mehr für Produktivumgebungen zu verwenden.

... da ist schon etwas dran. Mich stören zudem die vielen kleinen Bugs, die zwar nur sporadisch auftreten, aber wahrscheinlich genau aus dem Grund "Seltenheit" nicht gefixt werden. Im Gegenteil, es scheint aktuell so zu sein, dass mit jeder Firmware-Version neue Bugs hinzu kommen. Ich habe es schon an anderer Stelle bereits geschrieben, aber gerne hier nochmal: Wer einen funktionierenden NAS-Server haben will mit einer Firmware, die auch das hält, was sie verspricht, sollte sich mal bei Synology umsehen. Die Firmware ist extrem stabil und Bugs und Sicherheitslücken werden regelmäßig schnell behoben. Selbst die DSM 5.0 war in der ersten erschienenen Version stabiler und fehlerfreier als es die QTS 4.0 bei QNAP wohl jemals werden wird...

 

[johnripper]

... da ist schon etwas dran. Mich stören zudem die vielen kleinen Bugs, die zwar nur sporadisch auftreten, aber wahrscheinlich genau aus dem Grund "Seltenheit" nicht gefixt werden. Im Gegenteil, es scheint aktuell so zu sein, dass mit jeder Firmware-Version neue Bugs hinzu kommen. Ich habe es schon an anderer Stelle bereits geschrieben, aber gerne hier nochmal: Wer einen funktionierenden NAS-Server haben will mit einer Firmware, die auch das hält, was sie verspricht, sollte sich mal bei Synology umsehen. Die Firmware ist extrem stabil und Bugs und Sicherheitslücken werden regelmäßig schnell behoben. Selbst die DSM 5.0 war in der ersten erschienenen Version stabiler und fehlerfreier als es die QTS 4.0 bei QNAP wohl jemals werden wird...

Sind das rein subjektive Behauptungen oder gibt es dafür eine Quelle?

Wie stabil 5.0 ist zeigt sich ja hier:
http://www.golem.de/news/synology-d...legt-einige-nas-systeme-lahm-1404-105796.html

 

[StardustOne]

Ich habe nach Anleitung installiert, das NAS startet auch sehr schön neu. Trotzdem ist nirgends später ersichtlich, dass man diesen Patch überhaupt eingespielt hat. Das ist besonders bei so was Wichtigem mehr als bedenklich, denn mit oder ohne Patch wird nur die Firmware 4.1.1 vom 27.09.2014 angezeigt.

Wieso Qnap den eingespielten Patch nicht wenigstens gut sichtbar ausweisen kann ist mir ein Rätsel.

 

[computerbase107]

Patches außerhalb der Reihe werden bei Qnap und auch Anderen, soweit mir bekannt, nicht gesondert ausgewiesen.

Das OS vom Nas ist ja nicht Windows mit deren Korrekturpaketen.

Zu Deiner Beruhigung kann ich Dir aus langjähriger Erfahrung mit Qnap sagen, das der Patch sauber installiert wird, sofern Du Dich an das übliche Firmware-Update-Prozedere gehalten hast.

 

[websurferin83]

Sind das rein subjektive Behauptungen oder gibt es dafür eine Quelle?

Wie stabil 5.0 ist zeigt sich ja hier:
http://www.golem.de/news/synology-d...legt-einige-nas-systeme-lahm-1404-105796.html

Die Bugs von QNAP sind vor allem:
- BT-Funktion ist bei aktiver Download-Station immer im Hintergrund aktiv und verteilt Dateien ohne Wissen des Nutzers. Dies lässt sich nicht abschalten. Im englischsprachigen Forum wurde mir dieses Problem bestätigt, allerdings gibt es momentan kaum Anstrengungen, das zu beheben.
- Inkrementelles Backup auf USB funktioniert nicht immer einwandfrei, normalerweise müssten bei aktiver Option Dateien grundsätzlich überschrieben werden, sobald sich die Größe unterscheidet. Das funktioniert jedoch nicht, wenn die auf dem Sicherungsmedium vorhandene Datei neuer ist, als die zu sichernde Datei!
- Hin und wieder kommt es vor, dass man nach dem Neustart nicht mehr auf die Windows-Freigaben zugreifen kann. Dann hilft nur manuelles deaktivieren und erneutes Aktivieren von Samba.
- Gelegentlich kommt es vor dass irgend ein Prozess im NAS ständig aktiv ist und kein Zugriff (weder Dateifreigabe, WEB-Config, noch Finder) möglich ist. Dann hilft nur ein manueller Neustart des NAS mit dem Ein/Ausschaltknopf. Besonders lästig ist dies, wenn man via VPN mit dem eigenen Netz verbunden ist und sich 500 km weit weg befindet - dann ist es schlichtweg unmöglich noch an das NAS zu kommen.
- Manchmal fährt das NAS trotz aktiviertem Zeitplan nicht mehr herunter. Der NAS bleibt so lange eingeschaltet, bis man einen manuellen Reboot durchführt.
- etc.

Zu dem Synology-Problem von oben:
Das war mir bekannt und das ist auch sehr ärgerlich. Allerdings entstand das wohl, weil Synology den Heartbleed-Bug innerhalb weniger Stunden nach Bekanntwerden beheben wollte und sich wohl dadurch dieser Fehler eingeschlichen hat. Bei QNAP werden Sicherheitslücken wenn überhaupt, erst Tage oder Wochen später gefixt. Für Firmware-Versionen 3.7.x und 3.8.x gibt es gar keine Updates mehr!
Nun kann man sich überlegen, ob man lieber die langsame und noch viel schlechter funktionierende FW 4.x oder die 3.7.x bzw. 3.8.x ohne Sicherheitsupdates haben will.

Bei Synology hingegen erhält auch die DSM 4.3 weiterhin Sicherheitsupdates!

Ich persönlich werde wohl in Zukunft nur noch auf Synology setzen.