【セキュリティニュース】QNAP製NASのOSに複数脆弱性 - アップデートで修正（1ページ目 / 全1ページ）：Security NEXT

QNAP Systemsは、現地時間12月7日にセキュリティアドバイザリを公開し、同社NAS製品のOSとして提供している「QTS」および「QuTS hero」に関する脆弱性を明らかにした。

具体的には、任意のコマンドを実行されるおそれがあるコマンドインジェクション「CVE-2024-50393」をはじめ、改行コードの不適切な処理に起因する「CRLFインジェクション」の脆弱性「CVE-2024-48868」「CVE-2024-48867」など、あわせて8件の脆弱性について明らかにしたもの。

証明書の不適切な検証「CVE-2024-48865」、不適切な認証「CVE-2024-48859」、不適切なURLエンコーディングの処理「CVE-2024-48866」、フォーマット文字列の脆弱性「CVE-2024-50402」「CVE-2024-50403」なども判明している。

いずれもバグバウンティコンテスト「Pwn2Own 2024」を通じて報告された。開発チームは、アップデートの重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、今回判明したなかでは、「CVE-2024-50393」「CVE-2024-48868」が「8.7」と高く、「CVE-2024-48865」が「7.3」で続いている。他脆弱性は「5.3」から「2.1」と評価した。

同社は、これら脆弱性を解消した「QTS 5.2.2.2950」「同5.1.9.2954」、「QuTS hero h5.2.2.2952」「同h5.1.9.2954」を提供しており、NASの管理画面において更新するか、手動でアップデートを行うよう求めている。

（Security NEXT – 2024/12/09 ）

関連リンク

QNAP：Multiple Vulnerabilities in QTS and QuTS hero

QNAP Systems

「WordPress」のメンテ機能を提供するプラグインにRCE脆弱性
先週注目された記事（2024年12月1日〜2024年12月7日）
「Microsoft Edge」にアップデート – 脆弱性2件を解消
職員が携帯電話を一時紛失、保護ケースにロック解除メモ – 新潟県
複数の決裁文書が所在不明に、盗難の可能性も – 四條畷市
会員顧客向けメールで誤送信 – PC周辺機器メーカー
伝票を保管していた段ボール3箱を誤廃棄 – 佐賀銀
職員のアカウント2件がスパム送信の踏み台に – 東京経済大
「Django」にセキュリティアップデート – 複数の脆弱性を修正
ライクキッズへのランサム攻撃 – 脆弱性を突いて侵入