Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] QNAP opravuje 28 zranitelností v různých produktech

QNAP opravuje 28 zranitelností v produktech QNAP Photo, QuRouter, Notes Station 3, QuLog Center, AI Core, QTS a QuTS Hero [1][2][3][4][5][6][7][8][9][10][11][12]. Jednotlivé produkty a jejich opravené verze: QNAP Photo - 6.4.3 [1][2][3][4] QNAP QuRouter - 2.4.3.103 [5][6] QNAP Notes Station - 3.9.7 [7][8] QNAP QuLog Center - 1.7.0.831, 1.8.0.888 [9] QNAP AI Core - 3.4.1 [10] QNAP QTS - 5.2.1.2930 build 20241025 [11] QNAP QuTS Hero - h5.2.1.2929 build 20241025 [12]

QNAP Photo Station - XSS (CVE-2024-32767, CVE-2024-32768, CVE-2024-32769, CVE-2024-32770)
CVSS 6.3 (Medium)

Autentizovanému vzdálenému útočníkovi je v QNAP Photo Station umožněno provést XSS útok [13][1][2][3][4].

Zranitelnost se nachází v produktu:

  • QNAP Photo Station; >=6.4, <6.4.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

Více informací:

Zranitelnost byla veřejně oznámena 22. 11. 2024.

QNAP QuRouter - command execution (CVE-2024-48860, CVE-2024-48861)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je v QNAP QuRouter umožněno neoprávněně provádět příkazy [14][5][6].

Zranitelnost se nachází v produktu:

  • QNAP QuRouter; >=2.4, <2.4.3.106;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-48860 na cve.org, NVD
  • CVE-2024-48861 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 11. 2024.

QNAP Notes Station 3 - missing authentication (CVE-2024-38643)
CVSS 9.1 (Critical)

Neautentizovanému vzdálenému útočníkovi je v QNAP Notes Station 3 umožněno neoprávněně přistupovat ke kritické funkcionalitě, pomocí které může získat přístup do systému postiženého stroje [15][7].

Zranitelnost se nachází v produktu:

  • QNAP Notes Station 3; >=3.9, <3.9.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 23. 11. 2024.

QNAP Notes Station 3 - command execution (CVE-2024-38644)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je v QNAP Notes Station 3 umožněno spouštět libovolné příkazy v operačním systému postiženého stroje [15][8].

Zranitelnost se nachází v produktu:

  • QNAP Notes Station 3; >=3.9, <3.9.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-38644 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 11. 2024.

QNAP QuLog Center - file system traversal (CVE-2024-48862)
CVSS 8.8 (High)

Neautentizovanému vzdálenému útočníkovi je v QNAP QuLog Center umožněno neoprávněně přistupovat do libovolných umístění v souborovém systému [16][9].

Zranitelnost se nachází v produktu:

  • QNAP QuLog Center; >=1.7, <1.7.0.831; >=1.8, <1.8.0.888;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 22. 11. 2024.

QNAP AI Core - security compromise (CVE-2024-38647)
CVSS 8.3 (High)

Neautentizovanému vzdálenému útočníkovi je v QNAP AI Core umožněno obejít zabezpečení systému [17][10].

Zranitelnost se nachází v produktu:

  • QNAP AI Core; >=3.4, <3.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 22. 11. 2024.

QNAP QTS and Quts Hero - data read and overwrite (CVE-2024-50397)
CVSS 7.5 (High)

Autentizovanému vzdálenému útočníkovi je v QNAP QTS a Quts Hero umožněno přistupovat k potenciálně citlivým datům a přepisovat data v paměti [18][12].

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 23. 11. 2024.

QNAP QTS and Quts Hero - data read and overwrite (CVE-2024-50396)
CVSS 8.8 (High)

Neautentizovanému vzdálenému útočníkovi je v QNAP QTS a Quts Hero umožněno přistupovat k potenciálně citlivým datům a přepisovat data v paměti [18][11].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 23. 11. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 6. 12. 2024.

CESNET, z.s.p.o. Logo