Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] QNAP opravuje 10 zraniteľností

QNAP opravuje 10 zraniteľností vo svojich produktoch [1][2][3]. Najzávažnejšie z nich sú opísané nižšie, zvyšné nájdete na [1]. Produkty a ich opravené verzie: QTS - 5.1.9.2954 build 20241120 a 5.2.2.2950 build 20241114 [1] QuTS hero - h5.1.9.2954 build 20241120 a h5.2.2.2952 build 20241116 [1] License Center - 1.9.43 [2] Qsync Central - 4.4.0.16_20240819 (2024/08/19) [3]

QNAP QTS a QuTS hero - modifikácia aplikačných dát (CVE-2024-48868)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v operačných systémoch QTS a QuTS hero kvôli nedostatočnej validácii vstupu umožnené neoprávnene modifikovať aplikačné dáta [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 12. 2024.

QNAP QTS a QuTS hero - vykonanie príkazov (CVE-2024-50393)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v operačných systémoch QTS a QuTS hero umožnené spúšťať ľubovoľné príkazy [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-50393 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 12. 2024.

QNAP QTS a QuTS hero - kompromitácia bezpečnosti systému (CVE-2024-48865)
CVSS 8.6 (High)

Neautentizovanému lokálnemu útočníkovi je v operačných systémoch QTS a QuTS hero kvôli nedostatočnej validácii certifikátov umožnené kompromitovať bezpečnosť systému [1].

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 12. 2024.

QNAP License Center - vykonanie príkazov v OS (CVE-2024-48863)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti v License Center umožnené spúšťať ľubovoľné príkazy v operačnom systéme stroja [2].

Zraniteľnosť sa nachádza v produkte:

  • License Center; >=1.9, <1.9.43;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 12. 2024.

QNAP Qsync Central - neoprávnený prístup (CVE-2024-50404)
CVSS 5.7 (Medium)

Autentizovanému vzdialenému útočníkovi je po získaní používateľského prístupu v Qsync Central pomocou sociálneho inžinierstva umožnené prehľadávať súborový systém aplikácie [3].

Zraniteľnosť sa nachádza v produkte:

  • Qsync Central; >=4.4, <4.4.0.16_20240819;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 12. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 6. 1. 2025.

CESNET, z.s.p.o. Logo