Dauerhaft ausgenutzt KEV-Katalog Ransomware Ohne Anmeldung

CVE-2018-19949

QNAP NAS File Station Command Injection Vulnerability

CheckOps-Prioritätsindex

7,8/10 Binnen 7 Tagen patchen

Schweregrad9,8

Wahrscheinlichkeit3,0

Ausnutzung5/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 30,2 % höher als 98,2 % aller CVE

CVSS 3.1 9,8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:

Ausgenutzt seit 1.624 Tagen 24.05.2022

CISA-Frist 14.06.2022 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 5 / 5

KEV-Katalog (CISA)24.05.2022
In der EUVD ausgenutzt (ENISA)24.05.2022
Von Ransomware genutztja
EPSS über 10 %30,2 %
Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply updates per vendor instructions.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

Text der Quelle, auf Englisch.

Betroffene Produkte

QTSNetwork Attached Storage (NAS)

Betroffene Versionen

unspecified <4.2.6
unspecified <4.4.1.1201
unspecified <4.4.2.1231
unspecified <4.3.4.1190
unspecified <4.3.6.1218
unspecified <4.3.3.1161

Schwächen (CWE)

CWE-20 CWE-77 CWE-78

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

28.10.2020
Veröffentlichung
24.05.2022
Ausnutzung gemeldet (ENISA)
24.05.2022
Aufnahme in den KEV-Katalog
14.06.2022
CISA-Frist zur Behebung
22.10.2026
EPSS-Höchstwert: 30,2 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2023-47565QNAP VioStor NVR OS Command Injection Vulnerability
7,2 · Dauerhaft ausgenutzt
CVE-2022-27593QNAP Photo Station Externally Controlled Reference Vulnerability
9,6 · Dauerhaft ausgenutzt
CVE-2019-7195QNAP Photo Station Path Traversal Vulnerability
9,6 · Dauerhaft ausgenutzt
CVE-2019-7194QNAP Photo Station Path Traversal Vulnerability
9,4 · Dauerhaft ausgenutzt
CVE-2019-7193QNAP QTS Improper Input Validation Vulnerability
7,4 · Dauerhaft ausgenutzt
CVE-2019-7192QNAP Photo Station Improper Access Control Vulnerability
9,6 · Dauerhaft ausgenutzt