QNAP Network-Attached Storage (NAS) Command Injection Vulnerability
A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerability allows attackers to execute arbitrary commands in a compromised application. We have already fixed this vulnerability in the…
Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.
Probabilité d’exploitation EPSS · FIRST
Signaux d’exploitation 4 / 5
- Catalogue KEV (CISA)11/04/2022
- EUVD exploitée (ENISA)11/04/2022
- Utilisée par des rançongicielsnon
- EPSS au-dessus de 10 %34,0 %
- Sans compte, par le réseauoui
Que faire
Corriger
Appliquer le correctif de l’éditeur dès qu’il est disponible.
Consigne de la CISA : Apply updates per vendor instructions.
En attendant
Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.
Éditeurs (CRA)
Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué
Description ENISA EUVD
A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerability allows attackers to execute arbitrary commands in a compromised application. We have already fixed this vulnerability in the following versions: QTS 4.5.2.1566 Build 20210202 and later QTS 4.5.1.1495 Build 20201123 and later QTS 4.3.6.1620 Build 20210322 and later QTS 4.3.4.1632 Build 20210324 and later QTS 4.3.3.1624 Build 20210416 and later QTS 4.2.6 Build 20210327 and later QuTS hero h4.5.1.1491 build 20201119 and later
Texte de la source, en anglais.
Produits touchés
- unspecified <4.3.4.1632 Build 20210324
- unspecified <4.5.1.1495 Build 20201123
- unspecified <h4.5.1.1491 build 20201119
- unspecified <4.3.3.1624 Build 20210416
- unspecified <4.3.6.1620 Build 20210322
- unspecified <4.5.2.1566 Build 20210202
- unspecified <4.2.6 Build 20210327
Paquets open source OSV
Bibliothèques touchées selon OSV, avec les versions corrigées.
Chronologie
-
Publication
-
Exploitation signalée (ENISA)
-
Ajout au catalogue KEV
-
Échéance de correction CISA
-
EPSS au plus haut : 34,0 %
Références
Autres failles exploitées du même éditeur
- CVE-2023-47565QNAP VioStor NVR OS Command Injection Vulnerability7,2 · Exploitation de fond
- CVE-2022-27593QNAP Photo Station Externally Controlled Reference Vulnerability9,6 · Exploitation de fond
- CVE-2019-7195QNAP Photo Station Path Traversal Vulnerability9,6 · Exploitation de fond
- CVE-2019-7194QNAP Photo Station Path Traversal Vulnerability9,4 · Exploitation de fond
- CVE-2019-7193QNAP QTS Improper Input Validation Vulnerability7,4 · Exploitation de fond
- CVE-2019-7192QNAP Photo Station Improper Access Control Vulnerability9,6 · Exploitation de fond