Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] QNAP opravuje 42 zraniteľností
QNAP opravuje 42 zraniteľností v rôznych produktoch, z ktorých najzávažnejšie sú popísané nižšie. Zvyšné nájdete na [1] po rozkliknutí jednotlivých varovaní. Produkty a ich opravené verzie: File Station 5 - 5.5.6.4907 [2][3] HybridDesk Station - 4.2.18 [4] Legacy VioStor NVR - QVR 5.1.6 build 20250621 [5] License Centre - 1.9.51, 1.8.51 [6] Photo Station - 6.4.5 (2025/01/02) [7] Qsync Central - 4.5.0.7 (2025/04/23) [8] QTS - 5.2.5.3145 build 20250526 [9][10] QuRouter - 2.5.1.060 [11] QuTS hero - h5.2.5.3138 build 20250519 [9][10]
Neautentizovanému vzdialenému útočníkovi je kvôli chybe v autentizácii vo firmvéri QVR pre Legacy VioStor NVR umožnené kompromitovať zabezpečenie systému [12].
Zraniteľnosť sa nachádza v produkte:
- Legacy VioStor NVR QVR; >=5.1.0, <5.1.6 build 20250621;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-52856 na cve.org, NVD
- CWE-287: Improper Authentication na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii certifikátov v Qsync Central po získaní používateľského účtu umožnené kompromitovať zabezpečenie systému [13].
Zraniteľnosť sa nachádza v produkte:
- Qsync Central; >=4.5.0, <4.5.0.7;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
Viac informácií:
- CVE-2025-30277 na cve.org, NVD
- CVE-2025-30278 na cve.org, NVD
- CWE-295: Improper Certificate Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli neošetrenému vstupu v QTS a QuTS hero po získaní používateľského účtu umožnené vykonávať ľubovoľné príkazy [14].
Zraniteľnosť sa nachádza v produktoch:
- QTS; >=5.2.0, <5.2.5.3145 build 20250526;
- QuTS hero; >=h5.2.0, <h5.2.5.3138 build 20250519;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-30264 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu SQL injection v Qsync Central po získaní používateľského účtu umožnené neoprávnene vykonávať príkazy alebo spustiť kód [13].
Zraniteľnosť sa nachádza v produkte:
- Qsync Central; >=4.5.0, <4.5.0.7;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-29893 na cve.org, NVD
- CVE-2025-29894 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 8. 2025.
Odkazy
- [1] https://www.qnap.com/en/security-advisories
- [2] https://www.qnap.com/go/security-advisory/qsa-25-31
- [3] https://www.qnap.com/go/security-advisory/qsa-25-19
- [4] https://www.qnap.com/go/security-advisory/qsa-25-20
- [5] https://www.qnap.com/go/security-advisory/qsa-25-29
- [6] https://www.qnap.com/go/security-advisory/qsa-25-27
- [7] https://www.qnap.com/go/security-advisory/qsa-25-24
- [8] https://www.qnap.com/go/security-advisory/qsa-25-22
- [9] https://www.qnap.com/go/security-advisory/qsa-25-21
- [10] https://www.qnap.com/go/security-advisory/qsa-25-23
- [11] https://www.qnap.com/go/security-advisory/qsa-25-25
- [12] https://www.qnap.com/en/security-advisory/qsa-25-29
- [13] https://www.qnap.com/en/security-advisory/qsa-25-22
- [14] https://www.qnap.com/en/security-advisory/qsa-25-21
Za CESNET, z.s.p.o. Michaela Ručková dňa 2. 9. 2025.