QNAP製NASのOSに複数脆弱性 - アップデートで修正

QNAP Systemsは、現地時間12月7日にセキュリティアドバイザリを公開し、同社NAS製品のOSとして提供している「QTS」および「QuTS hero」に関する脆弱性を明らかにした。

具体的には、任意のコマンドを実行されるおそれがあるコマンドインジェクション「CVE-2024-50393」をはじめ、改行コードの不適切な処理に起因する「CRLFインジェクション」の脆弱性「CVE-2024-48868」「CVE-2024-48867」など、あわせて8件の脆弱性について明らかにしたもの。

証明書の不適切な検証「CVE-2024-48865」、不適切な認証「CVE-2024-48859」、不適切なURLエンコーディングの処理「CVE-2024-48866」、フォーマット文字列の脆弱性「CVE-2024-50402」「CVE-2024-50403」なども判明している。

いずれもバグバウンティコンテスト「Pwn2Own 2024」を通じて報告された。開発チームは、アップデートの重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、今回判明したなかでは、「CVE-2024-50393」「CVE-2024-48868」が「8.7」と高く、「CVE-2024-48865」が「7.3」で続いている。他脆弱性は「5.3」から「2.1」と評価した。

同社は、これら脆弱性を解消した「QTS 5.2.2.2950」「同5.1.9.2954」、「QuTS hero h5.2.2.2952」「同h5.1.9.2954」を提供しており、NASの管理画面において更新するか、手動でアップデートを行うよう求めている。

（Security NEXT - 2024/12/09 ）ツイート

QNAP製NASのOSに複数脆弱性 - アップデートで修正

関連リンク

PR

関連記事