CVE-2018-19949

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) przekazywanych do interpretera poleceń systemowych (CWE-78). Atakujący może spreparować odpowiednie żądanie sieciowe zawierające złośliwe polecenia, które zostają wykonane bezpośrednio przez system operacyjny urządzenia NAS. Brak wymogu uwierzytelnienia oraz możliwość ataku zdalnego przez sieć czynią tę lukę szczególnie niebezpieczną.

Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu QNAP NAS, co prowadzi do pełnego przejęcia kontroli nad urządzeniem, utraty poufności i integralności danych oraz potencjalnego niedostępnienia usługi.

Należy niezwłocznie zaktualizować QNAP QTS do następujących wersji zawierających poprawkę: QTS 4.4.2.1231 (build 20200302), QTS 4.4.1.1201 (build 20200130), QTS 4.3.6.1218 (build 20200214), QTS 4.3.4.1190 (build 20200107), QTS 4.3.3.1161 (build 20200109) lub QTS 4.2.6 (build 20200109). Szczegóły w komunikacie bezpieczeństwa producenta QSA-20-01.

QNAP QTS w wersjach: wcześniejszych niż 4.4.2.1231 (build 20200302), 4.4.1.1201 (build 20200130), 4.3.6.1218 (build 20200214), 4.3.4.1190 (build 20200107), 4.3.3.1161 (build 20200109) oraz 4.2.6 (build 20200109)

Podatność została zgłoszona i opublikowana w ramach biuletynu bezpieczeństwa QNAP QSA-20-01. Pomimo że CVE pochodzi z 2018 roku, karta bezpieczeństwa producenta oraz poprawki zostały udostępnione w 2020 roku.

CISA KEV — szczegółyi

Dostawcai

QNAP

Produkti

Network Attached Storage (NAS)

Data dodania do KEVi

24 maja 2022

Termin remediation (USA)i

14 czerwca 2022(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności