Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] QNAP opravuje 25 zraniteľností

QNAP opravuje 25 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie. Produkty a ich opravy: File Station - 5.5.6.4847 [1], 5.5.6.4791 [2] QTS - 5.2.4.3079 build 20250321 [3], 5.2.4.3079 build 20250321 [4] QuTS hero - h5.2.4.3079 build 20250321 [3], h5.2.4.3079 build 20250321[4] Qsync Central - 4.5.0.6 [5] QES - 2.2.1 build 20250304 [6], 2.2.1 build 20241231 [7] QuRouter - 2.5.0.140 [8] License Center - 1.9.49 [9]

QNAP File Station 5 - improper certificate validation (CVE-2025-30279, CVE-2025-33031)
CVSS 8.3 (High)

Autentifikovanému vzdialenému útočníkovi je v produkte File Station 5 umožnené získať prístup k používateľskému účtu a narušiť bezpečnosť daného systému [1].

Zraniteľnosť sa nachádza v produkte:

  • *:File Station; >=5.5.0, <5.5.6.4847

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

QNAP File Station 5 - path traversal (CVE-2025-33035)
CVSS 7.2 (High)

Autentifikovanému vzdialenému útočníkovi je v produkte File Station 5 umožnené čítať obsah citlivých súborov alebo systémových dát [1].

Zraniteľnosť sa nachádza v produkte:

  • *:File Station; >=5.5.0, <5.5.6.4847

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2025-33035 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

QNAP File Station 5 - DoS (CVE-2025-22484, CVE-2025-29872)
CVSS 7.1 (High)

Autentifikovanému vzdialenému útočníkovi je v produkte File Station 5 umožnené zabrániť ostatným systémom, aplikáciám alebo procesom v prístupe k rovnakému typu prostriedku [1].

Zraniteľnosť sa nachádza v produkte:

  • *:File Station; >=5.5.0, <5.5.6.4847

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

QNAP File Station 5 - improper certificate validation (CVE-2025-22486, CVE-2025-29883, CVE-2025-29884, CVE-2025-29885)
CVSS 7.1 (High)

Autentifikovanému vzdialenému útočníkovi je v produkte File Station 5 kvôli nesprávnemu overovaniu certifikátov umožnené narušiť bezpečnosť systému [2].

Zraniteľnosť sa nachádza v produkte:

  • *:File Station; >=5.5.0, <5.5.6.4791

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

QNAP QTS, QuTS hero - command injection (CVE-2025-22481)
CVSS 8.7 (High)

Autentifikovanému vzdialenému útočníkovi je v produktoch QTS a QuTS hero umožnené spustiť ľubovoľné príkazy [3].

Zraniteľnosť sa nachádza v produktoch:

  • *:QTS; >=5.2.0, <5.2.4.3079 build 20250321
  • *:QuTS hero; >=h5.2.0, <h5.2.4.3079 build 20250321

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2025-22481 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

QNAP Qsync Central - SQL injection (CVE-2025-29892)
CVSS 8.7 (High)

Autentifikovanému vzdialenému útočníkovi je v produkte Qsync Central umožnené spúšťať ľubovoľný kód či príkazy [5].

Zraniteľnosť sa nachádza v produkte:

  • *:Qsync Central; >=4.5.0, <4.5.0.6

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2025-29892 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 6. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 11. 6. 2025.

CESNET, z.s.p.o. Logo