Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] QNAP opravuje 46 zraniteľností
QNAP opravuje 46 zraniteľností v rôznych produktoch, z ktorých najzávažnejšie sú popísané nižšie. Zvyšné nájdete na [1] po rozkliknutí jednotlivých varovaní. Produkty a ich opravené verzie: NetBak Replicator - 4.5.15.0807 [2] Qsync Central - Qsync Central 5.0.0.2 [3], 5.0.0.1 [4] Video Station - 5.8.4 [5] QNAP Authenticator - 1.3.1.1227 [6] QTS - 5.2.6.3195 build 20250715 [7] QuTS hero - h5.2.6.3195 build 20250715 [7]
Autentifikovanému lokálnemu útočníkovi je kvôli nezabezpečenej ceste k súboru alebo jej časti v NetBak Replicator po získaní používateľského účtu umožnené neoprávnene vykonávať príkazy alebo spustiť kód [2].
Zraniteľnosť sa nachádza v produkte:
- NetBak Replicator; >=4.5.0, <4.5.15.0807
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-57714 na cve.org, NVD
- CWE-428: Unquoted Search Path or Element na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 10. 2025.
Autentifikovanému vzdialenému útočníkovi je kvôli prideľovaniu zdrojov bez obmedzenia v Qsync Central umožnené vykonať DoS útok [3].
Zraniteľnosť sa nachádza v produkte:
- Qsync Central; >=5.0.0, <5.0.0.2
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-44012 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 10. 2025.
Autentifikovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu SQL injection v Qsync Central po získaní používateľského účtu umožnené neoprávnene vykonávať príkazy alebo spustiť kód [3].
Zraniteľnosť sa nachádza v produkte:
- Qsync Central; >=5.0.0, <5.0.0.2
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-53595 na cve.org, NVD
- CVE-2025-54153 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 10. 2025.
Autentifikovanému vzdialenému útočníkovi je kvôli zápisu mimo vyhradenej pamäte v Qsync Central umožnené upraviť alebo poškodiť pamäť [4].
Zraniteľnosť sa nachádza v produkte:
- Qsync Central; >=4.0, <5.0.0.1
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-44014 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 10. 2025.
Autentifikovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu path traversal v QTS a QuTS hero umožnené čítanie obsahu nepovolených súborov alebo systémových údajov [7].
Zraniteľnosť sa nachádza v produktoch:
- QTS; >=5.2.0, <5.2.6.3195 build 20250715
- QuTS hero; >=h5.2.0, <h5.2.6.3195 build 20250715
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-47211 na cve.org, NVD
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 10. 2025.
Odkazy
- [1] https://www.qnap.com/en/security-advisories
- [2] https://www.qnap.com/en/security-advisory/qsa-25-39
- [3] https://www.qnap.com/en/security-advisory/qsa-25-35
- [4] https://www.qnap.com/en/security-advisory/qsa-25-34
- [5] https://www.qnap.com/en/security-advisory/qsa-25-32
- [6] https://www.qnap.com/en/security-advisory/qsa-25-30
- [7] https://www.qnap.com/en/security-advisory/qsa-25-36
Za CESNET, z.s.p.o. Michaela Jarošová dňa 7. 10. 2025.