Kritisches Flow-Problem: Automatische Installation umgeht Warnung „Ungültige digitale Signatur“ beim Beta-Update

Hardware-Konfiguration:

NAS-Modell: QNAP TS-464

RAM: 16GB (aufgerüstet)

Betriebssystem: QuTS hero (ZFS)

Aktuelle Version: h6.0.0.3397 Beta (Build 2026/02/06)

Gemeldetes Problem:
Ich melde einen kritischen Fehler in der Firmware-Installer-Logik während des Updates auf Version h6.0.0.3397 Beta. Bei etwa 6 % der Verifizierungsphase wurde korrekt ein Sicherheitshinweis ausgelöst: „Die Firmware besitzt keine gültige digitale Signatur“.

Anomales Verhalten:
Obwohl keine manuelle Bestätigung des Warnhinweises erfolgte (der Benutzer wartete, um zu entscheiden, ob fortgefahren oder abgebrochen werden soll), wurde die Installation im Hintergrund zwangsweise fortgesetzt. Das System umging die Sicherheitsprüfung der digitalen Signatur, schloss das Update ab und forderte einen Neustart an, als ob die Validierung erfolgreich gewesen wäre.

Ich habe den Screenshot beigefügt, der den Verifizierungsfehler bei 6 % zeigt. Es ist unerlässlich, dass der QuTS hero Installer jegliche Schreiboperation strikt unterbindet, wenn die digitale Signatur nicht validiert und explizit vom Administrator bestätigt wurde.

Vielen Dank für den Bericht! Wir werden das intern prüfen. Dürfen wir auch fragen, wie Sie Ihre Firmware aktualisiert haben – per manueller Download oder Live-Update?

Live-Update

Geht mir genauso, ich habe das Pop-up gesehen, dass die Firmware-Signatur nicht stimmt, und dann hat das Gerät einfach weitergemacht und das Update heruntergeladen und installiert, ohne dass ich den Upgrade-Prozess stoppen konnte… aus meiner Sicht ein schwerwiegender Fehler.

Deshalb nennt man es auch „Beta“-Test. :smiley:

Das ist mir gerade auf einem TS-563 mit QTS 5.2.9 3410 passiert. Nicht in der Beta. Also wurde es wohl veröffentlicht? :slight_smile:

Update: Das NAS hat überlebt, und die Signatur scheint nach der Installation gültig zu sein.

Ähm, QTS 5.2.9.3410 ist keine Beta.

Ja. Deshalb habe ich geschrieben: „Nicht in der Beta. Also nehme ich an, dass es veröffentlicht wurde?“