知名NAS系统飞牛 fnOS 被爆疑似 0Day 高危漏洞，刚刚官方发布紧急更新

ivye
服务器知识
13小时前
22热度
0评论

漏洞是1.31日曝出，官方发布安全更新是今天早上4点半（2.1日 4.31）。相信在NAS圈，大家在昨天就知道这事情了。
先给不知道飞牛NAS系统是什么的同学科普一下背景：飞牛OS（简称fnOS）是一款专为个人和家庭用户设计的国产NAS（网络附加存储）操作系统。它的目标是让普通人也能轻松搭建和管理属于自己的私有云盘和数据中心。

创立团队主要是由原阿里移动事业群UC浏览器团队成员组成，其中CEO朱挺，曾任UC浏览器总经理。目前发展良好，并且已经开始变现。

好，背景就是这么个背景。了解NAS的同学，始终绕不开飞牛，并且系统无论从美观度，还是功能性上，都做的挺好，系统大有可为，用户量还是挺多的。果核也是其中用户一枚。

这次漏洞，算是相当严重了，漏洞影响1.1.15之前的旧版本系统。攻击者可以利用此漏洞，在不登录的情况下直接访问NAS设备上的任意文件，包括用户的私人文件和系统敏感配置。也就是说，只要你使用飞牛OS，以及配置了公网访问，就能非常简单的来获取你的文件。

http://[你的NAS地址]/app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../

那么，现在我们聊聊这个漏洞的严重程度。对于自己搭建的NAS系统，我们肯定是认为私密性最高的，那么，舍得存什么内容，大家都懂得。

存点老师的内容还好说，但是果核有朋友是存储了数字货币钱包备份和恢复文件，还搭建了Bitwaden来存一些乱七八糟的密码的，这要被泄露的话，那么是一笔不小的损失。并且，系统是支持挂载网盘的，也就是说同时能拿到网盘文件

看到这有同学要说，哎，有几个人有公网嘛，其实官方贴心的给大家提供了公网访问服务（FN Connect）的。免费用户一样可以用。

所以有用户说，使用FN Connect同样能复现此漏洞。

根据用户的反馈，漏洞最早复现版本可以在0.9版本，那么也就是说，到1.31日大规模曝出这个漏洞之前，至少有很长一段时间，漏洞是存在的。

不过还好，有网友已经做出了专杀脚本，大家除了更新系统外，可以使用脚本看一下，是否还有问题。

curl -L http://static2.fnnas.com/aptfix/trim-sec -o trim-sec && chmod +x trim-sec && ./trim-secwget http://static2.fnnas.com/aptfix/listautostart.sh && bash listautostart.sh

当然，最必要做的事，就是升级系统了

今天凌晨官方已经发布公告，提示大家升级到1.1.18版本。