Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] QNAP opravuje viacero zraniteľností vo svojich produktoch

QNAP opravuje niekoľko zraniteľností vo svojich produktoch. Najzávažnejšie z nich nájdete nižšie. Produkty a ich opravené verzie: Video Station - 5.8.2 [1] Download Station - 5.8.6.283 (2024/06/21) [2] QuMagie - 2.3.1 [3] QuLog Center - 1.8.0.872 (2024/06/17), 1.7.0.827 (2024/06/17) [4] Helpdesk - 3.3.1 [5] Music Station - 5.4.0 [6] QVR Smart Client - 2.4.0.0570 [7] Notes Station 3 - 3.9.6 [8] QTS - 5.1.8.2823 build 20240712, 5.2.0.2782 build 20240601 [9] [10] [11] QuTS hero - h5.1.8.2823 build 20240712, h5.2.0.2782 build 20240601[9] [10] [11]

Video Station - injekcia príkazov (CVE-2023-47563)
CVSS 7.4 (High)

Autentizovanému vzdialenému útočníkovi je v produkte Video Station umožnené spustiť ľubovoľný príkaz v operačnom systéme prostredníctvom vstupu v aplikácii [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Viac informácií:

  • CVE-2023-47563 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Video Station - SQL injection (CVE-2023-50360)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je v produkte Video Station umožnené vkladať škodlivý kód [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2023-50360 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Download Station - vkladanie škodlivého kódu (CVE-2024-38640)
CVSS 5.4 (Medium)

Autentizovanému vzdialenému útočníkovi je v produkte Download Station umožnené vkladať škodlivý kód [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

  • CVE-2024-38640 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QuMagie - nesprávne overenie certifikátu (CVE-2024-38642)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v produkte QuMagie umožnené ohroziť zabezpečenie systému [3].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QuLog Center - vkladanie škodlivého kódu (CVE-2024-32762)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi je v produkte QuLog Center umožnené vkladať škodlivý kód [4].

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:H/A:H

Viac informácií:

  • CVE-2024-32762 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Helpdesk - vkladanie škodlivého kódu (CVE-2024-27125)
CVSS 3.5 (Low)

Autentizovanému vzdialenému útočníkovi je v produkte Helpdesk umožnené vkladať škodlivý kód [5].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N

Viac informácií:

  • CVE-2024-27125 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Music Station - kompromitácia systému (CVE-2023-45038)
CVSS 4.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je v produkte Music Station umožnené ohroziť zabezpečenie systému [6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QVR Smart Client - spustenie neautorizovaného kódu, vykonanie príkazov (CVE-2022-27592)
CVSS 6.7 (Medium)

Autentizovanému lokálnemu útočníkovi je v produkte QVR Smart Client umožnené spúšťať neautorizovaný kód alebo príkazy [7].

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Notes Station 3 - vkladanie škodlivého kódu (CVE-2024-27122, CVE-2024-27126)
CVSS 6.3 (Medium)

Autentizovanému vzdialenému útočníkovi je v produkte Notes Station 3 umožnené vkladať škodlivý kód [8].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QTS a QuTS hero - vykonanie ľubovoľného kódu (CVE-2024-38641)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v produktoch QTS a QuTS hero umožnené vkladať škodlivé príkazy [9].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-38641 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QTS a QuTS hero - vloženie škodlivých príkazov (CVE-2023-34974)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v produktoch QTS a QuTS hero umožnené vkladať škodlivé príkazy [10].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2023-34974 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

QTS a QuTS hero - vyzradenie dát (CVE-2023-39298)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v produktoch QTS a QuTS hero umožnené pristupovať k dátam alebo vykonávať akcie bez patričných oprávnení [11].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 19. 9. 2024.

CESNET, z.s.p.o. Logo