QNAPの複数製品に脆弱性、アップデートを

QNAP Systemsは12月7日(現地時間)、「Multiple Vulnerabilities in QTS and QuTS hero (PWN2OWN 2024) - Security Advisory｜QNAP」において、QNAPの複数の製品に複数の脆弱性が存在すると発表した。

これら脆弱性を悪用されると、リモートの攻撃者に任意のコマンドを実行される可能性がある。

• 

  Multiple Vulnerabilities in QTS and QuTS hero (PWN2OWN 2024) - Security Advisory｜QNAP

脆弱性の情報

脆弱性の情報(CVE)は次のとおり。

• CVE-2024-48859 - 不適切な認証の脆弱性。リモートの攻撃者はシステムのセキュリティを侵害できる可能性がある(CVSSスコア: 5.3)
• CVE-2024-48865 - 不適切な証明書検証の脆弱性。ローカルネットワークにアクセスできる攻撃者は、システムのセキュリティを侵害できる可能性がある(CVSSスコア: 7.3)
• CVE-2024-48866 - URLエンコードの不適切な処理の脆弱性。リモートの攻撃者はシステムを予期しない状態にできる可能性がある(CVSSスコア: 2.3)
• CVE-2024-48867 - CRLFインジェクションの脆弱性。リモートの攻撃者はアプリケーションデータを変更できる可能性がある(CVSSスコア: 5.3)
• CVE-2024-48868 - CRLFインジェクションの脆弱性。リモートの攻撃者はアプリケーションデータを変更できる可能性がある(CVSSスコア: 8.7)
• CVE-2024-50393 - コマンドインジェクションの脆弱性。リモートの攻撃者は任意のコマンドを実行できる可能性がある(CVSSスコア: 8.7)
• CVE-2024-50402、CVE-2024-50403 - 外部制御されたフォーマット文字列を使用する脆弱性。管理者アクセス権を持つリモートの攻撃者は、機密情報の窃取およびメモリーの改ざんを行う可能性がある(CVSSスコア: 2.1)

脆弱性が存在する製品

セキュリティ脆弱性が存在するとされる製品およびバージョンは次のとおり。

• QTS 5.1.x
• QTS 5.2.x
• QuTS hero h5.1.x
• QuTS hero h5.2.x

脆弱性が修正された製品

脆弱性が修正された製品およびバージョンは次のとおり。

• QTS 5.1.9.2954 build 20241120およびこれ以降のバージョン
• QTS 5.2.2.2950 build 20241114およびこれ以降のバージョン
• QuTS hero h5.1.9.2954 build 20241120およびこれ以降のバージョン
• QuTS hero h5.2.2.2952 build 20241116およびこれ以降のバージョン

大賞の脆弱性のうち最も深刻度の高いものは重要(Important)と評価されており注意が必要。QNAP Systemsは影響を受ける製品の管理者に、最新バージョンへのアップデートを推奨している。